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副 于 


21 世纪 是 互联 网 时 代 ， 网 络 安全 的 内 涵 发 生 了 根本 性 的 变化 。 网 络 安全 在 信息 领域 中 
的 地 位 从 一 般 性 的 防卫 手段 变 成 了 非常 重要 的 安全 防御 措施 ， 网 络 安 全 技术 从 之 前 只 有 少 
部 分 人 研究 的 专门 领域 变 成 了 生活 中 无 处 不 在 的 应 用 。 当 人 类 步 入 21 世纪 这 一 信息 社会 的 
时 候 ， 网 络 安全 问题 成 为 了 互联 网 的 焦点 ， 我 们 每 个 人 都 时 刻 关 注 着 与 自身 密 不 可 分 的 网 
络 系统 的 安全 ， 从 应 用 和 管理 的 角度 建立 起 一 套 完 整 的 网 络 安全 体系 ， 无 论 对 于 单位 还 是 
个 人 都 显得 尤为 重要 。 提 高 网 络 安全 意识 ， 掌 握 网 络 安全 管理 工具 的 使 用 逐步 提 到 日 程 
上 来 。 

“网 络 安全 与 管理 ”是 计算 机 、 网 络 、 软 件 、 信 息 管理 等 专业 的 主要 专业 课 ， 学 生 应 
从 以 下 4 个 方面 掌握 网 络 安全 的 基本 概念 、 应 用 技术 、 管 理工 具 的 使 用 及 解决 方案 的 设计 。 

(1) 网 络 安全 的 基本 概念 

网 络 安全 是 指 网 络 系统 的 硬件 、 软 件 及 其 系统 中 的 数据 受到 保护 ， 不 因 偶然 的 或 者 恶 
意 的 原因 而 遭受 到 破坏 、 更 改 、 泄 露 ， 系 统 连 续 、 可 靠 、 正 常 地 运行 ， 网 络 服务 不 中 断 。 
网 络 安全 从 其 本 质 上 来 讲 就 是 网 络 上 的 信息 安全 。 从 广义 来 说 ， 凡 是 涉及 网 络 上 信息 的 保 
密 性 、 完 整 性 、 可 用 性 、 真 实 性 和 可 控 性 的 相关 技术 和 理论 都 是 网 络 安全 的 研究 领域 。 本 
书 从 网 络 安全 的 各 个 方面 进行 基本 介绍 ， 主 要 包括 各 种 技术 的 概念 、 分 类 、 原 理 、 特 点 等 
知识 ， 对 于 复杂 而 枯燥 的 算法 和 理论 研究 没有 详细 介绍 ， 通 过 对 这 些 知 识 的 学 习 来 理解 网 
络 安全 体系 中 各 部 分 之 间 的 联系 。 

(2) 网 络 安全 应 用 技术 

网 络 安全 应 用 技术 是 指 致力 于 解决 诸如 如 何 有 效 进行 访问 控制 ， 以 及 如 何 保证 数据 传 
输 的 安全 性 的 技术 手段 ， 主 要 包括 网 络 监控 技术 、 密 码 技术 、 病 毒 防御 技术 、 防 火 墙 技术 、 
入 侵 检测 技术 、VPN 技术 、 无 线 网 络 安全 技术 、 电 子 商 务 安 全 技术 ， 以 及 其 他 的 安全 服务 
和 安全 机 制 策略 。 单 一 的 网 络 安全 技术 和 网 络 安全 产品 无 法 解决 网 络 安全 的 全 部 问题 ， 应 
根据 应 用 需求 和 安全 策略 ， 综 合 运 用 各 种 网 络 安全 技术 以 达到 全 面 保护 网 络 的 要 求 。 本 书 
对 于 这 些 技术 分 章节 地 进行 详细 介绍 。 

(3) 网 络 安全 管理 工具 

如 果 想 对 网 络 安全 进行 综合 处 理 ， 就 要 使 用 多 种 网 络 安全 管理 工具 。 同 时 将 管理 工具 
和 系统 工具 配合 使 用 ， 才 会 起 到 事半功倍 的 作用 。 本 书 的 实验 部 分 对 常用 的 网 络 安全 管理 
工具 进行 了 相应 的 练习 ， 通 过 学 习 使 用 这 些 常 用 的 工具 来 理解 网 络 安全 方案 的 具体 解决 
方法 。 

(4) 网 络 安全 解决 方案 设计 

网 络 安 全 建设 是 一 个 系统 工程 ， 网 络 安全 解决 方案 的 设计 直接 影响 工程 的 质量 。 一 个 
完善 的 解决 方案 应 该 包含 哪些 部 分 、 应 该 提供 哪些 服务 、 如 何 评估 方案 的 质量 都 是 学 生 需 
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要 学 习 并 理解 的 。 

在 本 书 的 附录 A 中 给 出 了 一 个 网 络 安 全 知识 手册 , 通过 这 个 知识 手册 使 学 生 能 够 快速 
了 解 目前 常见 的 网 络 安全 问题 及 其 解答 。 

本 书 是 一 本 以 了 解 网 络 安全 知识 为 目的 ， 网 络 安全 工具 使 用 为 重点 ， 理 论 讲述 为 基础 
的 系统 性 、 应 用 性 较 强 的 网 络 安全 教材 。 本 教材 握 弃 了 传统 网 络 安全 教材 中 理论 过 多 、 过 
难 、 实 用 性 不 强 、 理 论 和 实践 不 配套 、 管 理工 具 不 通用 等 问题 ， 旨 在 培养 学 生 掌 握 基本 网 
络 安全 理论 知识 和 网 络 安全 管理 相 结合 为 目的 的 教材 。 教 材 从 应 用 的 角度 ， 系 统 地 讲述 了 
网 络 安全 所 涉及 的 理论 及 技术 。 以 网 络 安全 管理 工具 的 使 用 能 力 为 培养 目的 ， 通 过 实验 演 
练 ， 使 学 生 能 够 综合 运用 书 中 所 讲授 的 技术 进行 网 络 信息 安全 方面 的 实践 。 

本 书 分 为 理论 部 分 10 章 和 实验 部 分 6 章 。 理 论 部 分 是 对 网 络 安全 基本 理论 和 技术 的 
详细 讲解 ， 通 过 这 一 部 分 使 学 生 在 理论 上 有 一 个 清楚 的 认识 。 实 验 部 分 选择 了 目前 常用 的 
几 种 网 络 安全 工具 ， 通 过 对 工具 的 使 用 与 操作 ， 把 理论 和 实践 联系 起 来 ， 达 到 理解 运用 的 
目的 。 

本 书 至 少 需要 56 学 时 进行 学 习 ， 其 中 理论 授课 32 学 时 ， 实 验 24 学 时 ， 在 每 章 的 后 
面 都 有 习题 供 学 生 总 结 和 复习 所 学 的 知识 。 

本 书 第 1、 第 2、 第 5、 第 7、 第 8、 第 10 一 第 12 和 第 16 章 由 石磊 编写 ， 第 3 章 、 第 
4 章 、 实 验 3 和 实验 4 由 赵 慧 然 编写 ， 第 6 章 和 实验 5 由 肖 建 良 编写 ， 第 9 章 由 赦 磊 编写 。 
由 于 作者 水 平 有 限 ， 不 当 之 处 在 所 难免 ， 敬 请 读者 提出 宝贵 意见 。 

本 书 在 编写 过 程 中 ， 计 算 机 工程 学 院 李 彤 院 长 和 张 坤 副 院 长 、 网 络 工程 系 主任 肖 建 良 
给 予 作者 深切 的 关怀 与 鼓励 ， 对 于 本 书 的 编写 提供 了 帮助 与 指导 ， 在 此 表示 衷心 的 感谢 。 
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第 1 章 网 络 安全 概述 


1.1 互联 网 介绍 


互联 网 (Intemet， 又 称 为 网 际 网 ， 或 音译 为 因特网 、 英 特 网 ) 是 网 络 与 网 络 之 间 所 串 
连 成 的 庞大 网 络 ， 这 些 网 络 以 一 组 通用 的 协议 相连 ， 形 成 逻辑 上 的 单一 巨大 国际 网 络 。 这 
种 将 计算 机 网 络 互相 连接 在 一 起 的 方法 可 称 作 “网 络 互 联 ” 在 此 基础 上 发 展 出 攻 盖 全 世界 
的 全 球 性 互联 网 络 称 为 互联 网 ， 即 是 互相 连接 在 一 起 的 网 络 结构 。 互 联网 并 不 等 同 于 万 维 
网 ， 万 维 网 只 是 一 个 基于 超 文 本 相互 链接 而 成 的 全 球 性 系统 ， 只 是 互联 网 所 能 提供 的 多 种 
服务 之 一 。 
1.1.1 互联 网 的 影响 


互联 网 是 全 球 性 的 。 这 就 意味 着 我 们 目前 使 用 的 这 个 网 络 ， 不 管 是 谁 发 明了 它 ， 是 属 
于 全 人 类 的 。 这 种 “全 球 性 ”并 不 是 一 个 空洞 的 政治 口号 ， 而 是 有 其 技术 保证 的 。 互 联网 
的 结构 是 按照 “ 包 交 换 ” 的 方式 连接 的 分 布 式 网 络 。 因 此 ， 在 技术 的 层面 上 ， 互 联网 绝对 
不 存在 中 央 控 制 的 问题 。 也 就 是 说 ， 不 可 能 存在 某 一 个 国家 或 者 某 一 个 利益 集团 通过 某 种 
技术 手段 来 控制 互联 网 的 问题 。 反 过 来 ， 也 无 法 把 互联 网 封闭 在 一 个 国家 之 内 《除非 建立 
的 不 是 互联 网 )。 

然而 ， 这 样 一 个 全 球 性 的 网 络 ， 必 须要 有 某 种 方式 来 确定 联 入 其 中 的 每 一 台 主 机 在 互 
联网 上 绝对 不 能 出 现 类 似 两 个 人 同名 的 现象 。 这 样 ， 就 要 有 一 个 固定 的 机 构 来 为 每 一 台 主 
机 确定 名 字 ， 由 此 确定 这 台 主 机 在 互联 网 上 的 “地 址 ”。 但 这 仅仅 是 “命名 权 ” 这 种 确定 
地 址 的 权力 并 不 意味 着 控制 的 权力 。 负 责 命名 的 机 构 除 了 命名 之 外 , 并 不 能 做 更 多 的 事情 。 

同样 ， 这 个 全 球 性 的 网 络 也 需要 有 一 个 机 构 来 制定 所 有 主机 都 必须 遵守 的 交往 规则 
(协议 )， 否 则 就 不 可 能 建立 起 全 球 所 有 不 同 的 计算 机 、 不 同 的 操作 系统 都 能 够 通用 的 互联 
网 。 下 一 代 TCP/IP 协议 将 对 网 络 上 的 信息 等 级 进行 分 类 ， 以 加 快 传输 速度 (如 优先 传送 
浏览 信息 ,而 不 是 电子 邮件 信息 )， 就 是 这 种 机 构 提 供 的 服务 的 例证 。 同样 ， 这 种 制定 共同 
遵守 的 “协议 ”的 权力 也 不 意味 着 控制 的 权力 。 

毫 无 疑问 ， 互 联网 的 所 有 这 些 技术 特征 都 说 明 对 于 互联 网 的 管理 完 完全 全 与 “服务 ” 
有 关 ， 而 与 “控制 ”无 关 。 

事实 上 ， 目 前 的 互联 网 还 远 远 不 是 我 们 经 常 说 到 的 “信息 高 速 公 路 ”。 这 不 仅 因为 目 
前 互联 网 的 传输 速度 不 够 ， 更 重要 的 是 互联 网 还 没有 定型 ， 还 一 直 在 发 展 、 变 化 。 因 此 ， 
任何 对 互联 网 的 技术 定义 也 只 能 是 当下 的 、 现 时 的 。 

与 此 同时 ， 在 越 来 越 多 的 人 加 入 到 互联 网 中 、 越 来 越 多 地 使 用 互联 网 的 过 程 中 ， 也 会 
不 断 地 从 社会 、 文 化 的 角度 对 互联 网 的 意义 、 价 值 和 本 质 提 出 新 的 理解 。 


风疹 人 委 会 与 合理 ( 谎 二 族 ) 


1.1.2 互联 网 的 意义 


互联 网 也 是 一 个 面向 公众 的 社会 性 组 织 。 世 界 各 地 数 以 万 计 的 人 们 可 以 利用 互联 网 进 
行 信 息 交 流 和 资源 共享 。 而 又 有 成 千 上 万 的 人 自愿 地 花费 自己 的 时 间 和 精力 ， 蚂 蚁 般 地 辛 
勤 工 作 ， 构 造 出 全 人 类 所 共同 拥有 的 互联 网 ， 并 允许 他 人 去 共享 自己 的 劳动 果实 ， 使 人 们 
学 会 如 何 更 好 地 和 平 共处 。 

互联 网 是 人 类 社会 有 史 以 来 第 一 个 世界 性 的 图 书馆 和 第 一 个 全 球 性 论坛 。 任 何人 ， 无 
论 来 自 世 界 的 任何 地 方 ,在 任何 时 候 ， 他 〈 她 ) 都 可 以 参加 ， 互 联网 永远 不 会 关闭 。 而且， 
无 论 你 是 谁 ， 你 永远 是 受 欢迎 的 。 你 不 会 由 于 不 同 的 肤色 、 不 同 的 穿戴 、 不 同 的 宗教 信仰 
而 被 排挤 在 外 。 在 当今 的 世界 里 ， 唯 一 没有 国界 、 没 有 歧视 、 没 有 政治 的 生活 圈 只 有 互联 
网 。 通 过 网 络 信息 的 传播 ， 全 世界 任何 人 ， 不 分 国籍 、 种 族 、 性 别 、 年 龄 、 贫 富 ， 互 相传 
送 经 验 与 知识 ， 发 表意 见 和 见解 。 

互联 网 受 欢迎 的 根本 原因 在 于 它 的 (使 用 ) 成 本 低 ， 使 用 的 (信息 ) 价值 超 高 。 互 联 
网 的 优点 有 以 下 儿 方 面 : 

(1) 互联 网 能 够 不 受 空间 限制 来 进行 信息 交换 。 

(2) 信息 交换 具有 时 域 性 (更 新 速度 快 )。 

(3) 交换 信息 具有 互动 性 (人 与 人 ， ee 流 )。 

(4) 信息 交换 的 使 用 成 本 低 (通过 信息 交换 ， 代 蔡 实 物 交 

ee 

(6) 使 用 者 众多 。 

(7) 有 价值 的 信息 被 资源 整合 ， 信 息 储存 量 大 。 高 效 、 快 捷 。 

(8) 信息 交换 能 以 多 种 形式 存在 〈 视 频 、 图 片 、 文 章 等 )。 

互联 网 是 人 类 历史 发 展 中 的 一 个 伟大 的 里 程 碑 ， 它 正在 对 人 类 社会 的 文明 悄悄 地 起 着 
越 来 越 大 的 作用 。 也 许 会 像 瓦 特 发 明 的 蒸汽 机 一 样 导致 了 一 场 工 业 革 命 ， 互 联网 将 会 极 大 
地 促进 人 类 社会 的 进步 和 发 展 。 


1.1.3 我 国 互联 网 规模 与 使 用 


截至 2014 年 6 月 , 我 国 网 民 规模 达 6.32 亿 ， 半 年 共计 新 增 网 民 1442 万 人 。 互 联网 普 
及 率 为 46.9%， 较 2013 年 年 底 提 升 了 1.1 个 百分点 。 近 年 来 ， 中 国 互 联网 网 民 人 数 与 普及 
率 情 况 如 图 1.1 所 示 。 
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图 1.1 中 国 互联 网 网 民 人 数 与 普及 率 


上 网 时 长 : 2014 年 上 半年 ， 中 国 网 民 的 人 均 周 上 网 时 长 达 25.9 小 时 ， 相 比 2013 年 
下 半年 增加 了 0.9 小 时 。WiFi 覆盖 提升 、3G 的 成 熟 和 4G 的 启用 为 网 民 提 供 了 更 为 优质 的 
上 网 环境 ， 移 动 互联 网 应 用 丰富 性 的 提升 ， 使 得 多 方向 满足 用 户 上 网 的 需求 ， 推 动 我 国 网 
民 平 均 周 上 网 时 间 的 继续 增长 。 近 年 来 ， 中 国 网 民 平 均 每 周 上 网 时 长 情况 如 图 1.2 所 示 。 
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来 源 :CINNJIKC 中 国 互联 网 络 发 展 状况 统计 调查 2014.6 
图 1.2 中 国 网 民 平均 每 周 上 网 时 长 


手机 网 民 规 模 及 用 户 属性 : 截至 2014 年 6 月 底 , 我 国手 机 网 民 规模 为 5.27 亿 , 比 2013 
年 年 底 增加 2699 万 人 。 我 国 网 民 中 使 用 手机 上 网 的 人 群 占 比 进一步 提升 ， 由 2013 年 的 
81.0% 提 升 至 83.4%， 手 机 网 民 规模 首次 超越 传统 PC 网 民 规 模 。 

我 国手 机 网 民 以 男性 为 主导 ， 但 性 别 分 布 差距 有 所 缩小 。 截 至 2014 年 6 月 ， 我 国手 
机 网 民 中 的 男女 比例 为 55.9 : 44.1。 我 国手 机 网 民 以 年 轻 用 户 为 主体 ， 但 在 高 年 龄 段 群 体 
的 分 布 有 所 增加 。 年 龄 为 30 岁 及 以 下 的 手机 网 民 在 总 体 手机 网 民 中 占 比 达 60%; 40 岁 以 
上 群体 占 比 为 16.1%， 相 比 2013 年 6 月 增加 了 1.9 个 百分点 。 低 学 历 水 平 人 群 是 我 国手 机 
网 民 的 主要 人 群 。 初 中 学 历 和 高 中 /中 专 /技校 学 历 的 手机 网 民 占 比分 别 为 33.7% 和 31.7%， 
构成 手机 网 民 的 主体 。 

城镇 用 户 是 我 国 移动 互联 网 发 展 的 主力 ， 在 手机 网 民 中 所 占 比 例 达 72.4%， 高 出 乡村 
手机 网 民 比 例 44.8 个 百分点 。 在 月 收入 3000 元 以 上 的 人 群 占 比 明 显 提升 ， 达 34.0%， 相 
比 2013 年 6 月 增长 3 个 百分点 , 这 与 我 国 居民 收入 的 增长 趋势 相符 。 我 国手 机 网 民 以 学 生 
群体 占 比 最 大 ， 为 24.9%。 

手机 网 民 基 本 上 网 行为 状况 : 手机 网 民 对 手机 上 网 的 黏 性 进一步 增加 。87.8% 的 手机 
网 民 每 天 至 少 使 用 手机 上 网 一 次 ， 其 中 66.1% 的 手机 网 民 每 天 使 用 手机 上 网 多 次 。 

手机 网 民 使 用 手机 上 网 的 时 长 不 断 增加 。 每 天 上 网 4 小 时 以 上 的 重度 手机 网 民 比 例 达 
36.4%， 相 比 2013 年 增加 了 16.4 个 百分点 。 其 中 ， 每 天 实时 在 线 的 手机 比例 为 21.8%。 手 
机 上 网 常态 化 特征 进一步 明显 。 手 机 网 民 最 常 使 用 手机 上 网 的 场所 为 卧室 /宿舍 和 工 位 / 教 
室 ， 占 比分 别 为 88.2% 和 49.7%， 相 比 2013 年 6 月 增加 显著 。 越 来 越 多 的 用 户 从 PC 端 向 
手机 端 转 移 ， 挤 占 计 算 机 上 网 时 间 和 传统 媒体 时 间 ， 对 传统 PC 产生 较 大 冲击 。55% 的 手 
机 网 民 因为 使 用 手机 而 减少 了 对 计算 机 的 使 用 。 

2014 年 上 半年 ， 我 国 网 民 中 使 用 手机 上 网 的 比例 继续 保持 增长 ， 从 81.0% 上升 至 
83.4%， 增 长 2.4 个 百分点 ， 通 过 台式 计算 机 和 笔记 本 式 计算 机 上 网 的 网 民 比 例 略 有 下 降 ， 
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今年 我 国 网 民 使 用 手机 上 网 比例 首次 超过 传统 PC (传统 PC 仅 包括 台式 机 和 笔记 本 ， 不 包 
会 平板 计算 机 等 新 兴 个 人 终端 设备 )。 传 统 PC 上 网 比例 是 80.9%， 手 机 作为 第 一 大 上 网 终 
端 设备 的 地 位 更 加 巩固 。 


1.2 ”网络 安全 介绍 
1.2.1 网 络 安全 概念 


网 络 安全 是 指 网 络 系统 的 硬件 、 软 件 及 其 系统 中 的 数据 受到 保护 ， 不 因 偶然 的 或 者 恶 
意 的 原因 而 遭受 到 破坏 、 更 改 、 泄 露 ， 系 统 连 续 可 靠 正常 地 运行 ， 网 络 服务 不 中 断 。 网 络 
安全 包含 网 络 设备 安全 、 网 络 信息 安全 、 网 络 软件 安全 。 从 广义 来 说 ， 凡 是 涉及 网 络 上 信 
息 的 保密 性 、 完 整 性 、 可 用 性 、 真 实 性 和 可 控 性 的 相关 技术 和 理论 都 是 网 络 安全 的 研究 领 
域 。 网 络 安全 是 一 门 涉及 计算 机 科学 、 网 络 技术 、 通 信 技 术 、 密 码 技术 、 信 息 安 全 技术 、 
应 用 数学 、 数 论 、 信 息 论 等 多 种 学 科 的 综合 性 学 科 。 


1.2.2 网络 安 全 的 重要 性 


随 着 近年 来 网 络 技术 的 迅速 渗透 ， 信 息 安全 问题 受到 广泛 重视 。 互 联网 技术 的 产生 和 
发 展 历程 ， 以 及 当今 世界 网 络 控制 权 的 格局 ， 造 成 了 世界 各 国 网 络 权力 的 不 平衡 ， 而 网 络 
权力 的 大 小 一 定 意义 上 又 决定 了 各 国 在 数字 空间 的 地 位 ， 从 而 催生 了 各 国 对 网 络 安全 的 焦 
虑 。 与 此 同时 ， 网 络 作为 一 种 载体 ， 网 络 技术 作为 一 种 重要 的 手段 也 对 国家 安全 的 其 他 方 
面 产生 重大 影响 ， 如 恐怖 分 子 利用 网 络 制造 网 络 恐 怖 主义 、 敌 对 双方 利用 网 络 摧毁 对 方 信 
息 系统 设施 等 。 

信息 技术 和 网 络 空间 的 迅速 发 展 , 已 悄然 改变 了 现代 国防 安全 的 概念 。 在 网 络 化 时 代 ， 
互联 网 对 国家 安全 带 来 了 新 的 威胁 。 网络 化 是 将 一 个 社会 中 的 各 个 阶层 和 成 员 , 包括 个 人 、 
集体 和 机 构 ， 以 及 其 他 社会 成 员 组 织 起 来 的 主要 形式 。 网 络 化 赋予 了 社会 各 个 阶层 新 的 能 
力 。 随 着 网 络 化 的 发 展 ， 接 入 这 个 网 络 的 社会 成 员 将 越 来 越 广泛 ， 甚 至 涵盖 每 一 个 个 人 、 
集体 和 单位 ， 网 络 因而 成 为 整个 社会 的 神经 系统 。 围 绕 着 网 络 将 各 种 重要 的 机 构 和 业务 活 
动 组 织 起 来 已 经 成 为 信息 时 代 的 一 个 历史 性 的 趋势 ， 网 络 构成 了 人 类 社会 的 一 种 全 新 的 社 
会 形态 。 网 络 的 不 断 发 展 不 仅 持续 地 改变 着 生产 和 服务 的 过 程 和 结果 ， 也 时 时 地 改变 着 权 
利 的 运行 ， 扩 大 了 文化 的 内 涵 ， 成 为 非 传统 安全 领域 中 最 突出 、 最 核心 的 问题 ， 在 近 十 年 
间 迅 速 上 升 成 为 国家 安全 战略 的 新 重心 和 国家 安全 研究 领域 的 新 课题 。 

经 济 上 ， 经 济 活动 向 网 络 空间 迁徙 ， 不 仅 改变 了 社会 经 济 系统 的 运行 方式 ， 极 大 地 提 
高 了 社会 经 济 系统 运行 的 效率 ， 而 且 改变 了 社会 经 济 系统 的 结构 ; 政治 上 ， 网 络 信息 资源 
成 为 各 国 对 他 国 施加 政治 影响 的 便捷 手段 ， 网 络 被 用 来 冲击 国家 主权 ， 网 络 主权 的 概念 被 
提出 来 ， 因 此 网 络 安全 可 直接 作用 于 政治 安全 ; 文化 上 ， 互 联网 在 加 速 多 元 文化 的 传播 和 
相互 交流 的 同时 ， 信 息 优 势 国家 压制 信息 弱势 国家 ， 对 其 文化 准则 、 道 德 价值 观念 进行 文 
化 侵略 、 文 化 扩张 ， 形 成 巨大 的 冲击 影响 ， 军 事 上 ， 网 络 使 战争 手段 更 加 先进 ， 使 平民 有 
更 多 的 机 会 来 影响 战争 ， 经 由 网 络 而 凝聚 和 扩大 的 民意 可 以 阻止 也 可 以 推进 战争 的 进程 ， 
对 国家 安全 形成 新 的 威胁 。 


1.2.3 网络 安全 的 种 类 


1. 物理 安全 

自然 灾害 (如 雷电 、 地 震 、 火 灾 等 )， 物 理 损坏 (如 硬盘 损坏 、 设 备 使 用 寿命 到 期 等 )， 
设备 故障 (如 停电 、 电 磁 干 扰 等 )， 意 外 事故 。 电 磁 泄 漏 ， 信 息 泄露 ， 干扰 他 人 ， 受 他 人 干 
扰 ， 趁 机 而 入 〈 如 进入 安全 进程 后 半途 离开 )， 痕 迹 泄露 〈 如 口令 密 钥 等 保管 不 善 )。 操 作 
失误 《〈 如 删除 文件 、 格 式 化 硬盘 、 线 路 拆除 等 )、 意 外 玻 漏 、 计 算 机 系统 机 房 环境 的 安全 。 

2. 系统 安全 

操作 系统 的 安全 控制 ， 如 用 户 开 机 输入 的 口令 ( 某 些 计算 机 主板 有 “万 能 口令 ”)， 对 
文件 的 读 写 存 取 的 控制 (如 UNIX 系统 的 文件 属性 控制 机 制 )。 网 络 接口 模块 的 安全 控制 : 
在 网 络 环境 下 对 来 自 其 他 机 器 的 网 络 通信 进程 进行 安全 控制 ， 主 要 包括 身份 认证 、 客 户 权 
限 设 置 与 判别 、 审 计 日 志 等 。 网 络 互联 设备 的 安全 控制 : 对 整个 子 网 内 所 有 主机 的 传输 信 
息 和 运行 状态 进行 安全 监测 和 控制 ， 主 要 通过 网 管 软件 或 路 由 器 配置 实现 。 

3. 电子 商务 

电子 商务 安全 从 整体 上 可 分 为 两 大 部 分 : 计算 机 网 络 安全 和 商务 交易 安全 。 

1) 计算 机 网 络 安全 存在 的 主要 问题 

(1) 未 进行 操作 系统 相关 安全 配置 。 

不 论 采用 什么 操作 系统 ， 在 默认 安装 的 条 件 下 都 会 存在 一 些 安全 问题 ， 只 有 专门 针对 
操作 系统 安全 性 进行 严格 的 安全 配置 ， 才 能 达到 一 定安 全 程度 。 千 万 不 要 以 为 操作 系统 默 
认 安 装 后 ， 再 配 上 很 强 的 密码 系统 就 算 作 安全 了 。 网 络 软件 的 漏洞 和 “后 门 ” 是 进行 网 络 
攻击 的 首选 目标 。 

(2) 未 进行 网 页 程序 代码 审计 。 

如 果 是 通用 的 网 页 程序 问题 ， 防 范 起 来 还 稍微 容易 一 些 ， 但 是 对 于 网 站 或 软件 供应 商 
专门 开发 的 一 些 网 页 程序 ， 很 多 存在 严重 的 网 页 程序 问题 ， 对 于 电子 商务 站 点 来 说 ， 会 出 
现 恶意 攻击 者 冒 用 他 人 账号 进行 网 上 购物 等 严重 后 果 。 

(3) 拒绝 服务 (Denial of Service，DoS) 攻击 。 

随 着 电子 商务 的 兴起 ， 对 网 站 的 实时 性 要 求 越 来 越 高 ，DoS 或 DDoS 对 网 站 的 威胁 越 
来 越 大 。 以 网 络 瘫痪 为 目标 的 袭击 效果 比 任何 传统 的 恐怖 主义 和 战争 方式 都 来 得 更 强烈 ， 
破坏 性 更 大 ， 造 成 危害 的 速度 更 快 ， 范 围 也 更 广 ， 而 袭击 者 本 身 的 风险 却 非常 小 ， 甚 至 可 
以 在 裴 击 开 始 前 就 已经 消失 的 无 影 无 踪 ， 使 对 方 没有 实行 报复 打击 的 可 能 。 

(4) 安全 产品 使 用 不 当 。 

虽然 不 少 网 站 采用 了 一 些 网 络 安全 设备 ， 但 由 于 安全 产品 本 身 的 问题 或 使 用 问题 ， 这 
些 产品 并 没有 起 到 应 有 的 作用 。 很 多 安全 厂商 的 产品 对 配置 人 员 的 技术 背景 要 求 很 高 ， 超 
出 对 普通 网 管 人 员 的 技术 要 求 ， 就 算是 厂家 在 最 初 给 用 户 做 了 正确 的 安装 、 配 置 ， 一 旦 系 
统 改 动 ， 需 要 改动 相关 安全 产品 的 设置 时 ， 很 容易 产生 许多 安全 问题 。 

(5) 缺少 严格 的 网 络 安全 管理 制度 。 

网 络 安全 最 重要 的 还 是 要 思想 上 高 度 重视 ， 网 站 或 局 域 网 内 部 的 安全 需要 用 完备 的 安 
全 制度 来 保障 .建立 和 实施 严密 的 计算 机 网 络 安全 制度 与 策略 是 真正 实现 网 络 安全 的 基础 。 
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2) 计算 机 商务 交易 安全 存在 的 主要 问题 

(1) 窃取 信息 。 

于 未 采用 加 密 措施 ， 数 据 信 息 在 网 络 上 以 明文 形式 传送 ， 入 侵 者 在 数据 包 经 过 的 网 
关 或 路 由 器 上 可 以 截获 传送 的 信息 。 通 过 多 次 窃取 和 分 析 ， 可 以 找到 信息 的 规律 和 格式 ， 
进而 得 到 传输 信息 的 内 容 ， 造 成 网 上 传输 信息 汇 密 。 

(2) 算 改 信息 。 

当 入 侵 者 掌握 了 信息 的 格式 和 规律 后 ， 通 过 各 种 技术 手段 和 方法 将 网 络 上 传送 的 信息 
数据 在 中 途 修改 ， 然 后 再 发 向 目的 地 。 这 种 方法 并 不 新 鲜 ， 在 路 由 器 或 网 关上 都 可 以 做 此 
类 工作 。 
(3) 假冒 。 

由 于 掌握 了 数据 的 格式 ， 并 可 以 算 改 通过 的 信息 ， 攻 击 者 可 以 冒充 合法 用 户 发 送 假冒 
的 信息 或 者 主动 获取 信息 ， 而 远 端 用 户 通 常 很 难 分 辨 。 

(4) 恶意 破坏 。 

由 于 攻击 者 可 以 接 入 网 络 ， 可 能 对 网 络 中 的 信息 进行 修改 ， 掌 握 网 上 的 机 要 信息 ， 甚 
至 可 以 潜入 网 络 内 部 ， 其 后 果 是 非常 严重 的 。 

4. 协议 安全 

于 协议 的 开放 性 的 原因 ，TCP/IP 协议 本 身 没有 提供 安全 性 的 保证 ， 导 致 存在 许多 协 
议 上 的 漏洞 和 隐患 。 例 如 ，TCP/IP 协议 数据 流 采用 明文 传输 ， 由 此 可 能 出 现 源 地 址 欺骗 或 
IP 欺骗 、 源 路 由 选择 欺骗 、 路 由 选择 信息 协议 攻击 、 鉴 别 攻 击 、TCP 序列 号 欺骗 、TCP 序 
列 号 彼 炸 攻击 等 问题 。 

S. 应 用 系统 安全 

应 用 系统 的 安全 与 具体 的 应 用 有 关 ， 它 涉及 面 广 。 应 用 系统 的 安全 是 动态 的 、 不 断 变 
化 的 。 应 用 的 安全 性 也 涉及 信息 的 安全 性 ， 它 包括 很 多 方面 。 

应 用 的 安全 涉及 方面 很 多 ， 以 Intermet 上 应 用 最 为 广泛 的 E-mail 系统 来 说 ， 其 解决 方 
案 有 sendmail、Netscape Messaging Server、Lotus Notes、Exchange Server、SUN CIMS 等 
儿 十 种 。 其 安全 手段 涉及 LDAP、DES、RSA 等 各 种 方式 。 应 用 系统 是 不 断 发 展 且 应 用 类 
型 是 不 断 增 加 的 。 在 应 用 系统 的 安全 性 上 ， 主 要 考虑 尽 可 能 建立 安全 的 系统 平台 ， 而 且 通 
过 专业 的 安全 工具 不 断 发 现 漏洞 ， 修 补漏 洞 ， 提 高 系统 的 安全 性 。 

应 用 的 安全 性 涉及 信息 、 数 据 的 安全 性 ， 信 息 的 安全 性 涉及 机 密 信息 泄露 、 未 经 授权 
的 访问 、 破 坏 信 息 完整 性 、 假 冒 、 破 坏 系 统 的 可 用 性 等 。 在 某 些 网 络 系统 中 ， 涉 及 很 多 机 
密 信息 ， 如 果 一 些 重 要 信息 遭 到 窃取 或 破坏 ， 它 对 经 济 、 社 会 和 政治 的 影响 将 是 很 严重 的 。 
因此 ， 对 用 户 使 用 计算 机 必须 进行 身份 认证 ， 对 于 重要 信息 的 通信 必须 授权 ， 传 输 必 须 加 
密 。 采 用 多 层次 的 访问 控制 与 权限 控制 手段 ， 实 现 对 数据 的 安全 保护 ， 采 用 加 密 技 术 ， 保 
证 网 上 传输 信息 〈 包 括 管理 员 口 令 与 账户 、 上 传 信息 等 ) 的 机 密 性 与 完整 性 。 


1.3 威胁 网 络 安全 的 因素 


1.3.1 黑客 
谈 到 网 络 安全 问题 ， 就 不 能 不 谈 黑 客 (Hacker)。 黑 客 泛 指 擅 长 IT 技术 的 人 群 、 计 算 


机 科学 家 。 黑 客 的 定义 是 :“ 喜 欢 探索 软件 程序 奥秘 ， 并 从 中 增长 其 个 人 才干 的 人 。 他 们 不 
像 绝 大 多 数 计算 机 使 用 者 ， 只 规 规矩 失地 了 解 别 人 指定 了 解 的 范围 狭小 的 部 分 知识 。” 

“黑客 ”是 一 个 中 文 词语 ， 在 中 国 台 湾 地 区 对 应 的 中 文 词语 为 “ 骇 客 ”， 皆 源 自 英文 
hacker， 不 同 地 区 的 中 文 使 用 习惯 造成 了 翻译 的 差别 。 实 际 上 ， 黑 客 (或 骇 客 ) 与 英文 原 
文 Hacker、Cracker 等 含义 不 能 够 达到 完全 对 译 ， 这 是 中 英文 语言 词汇 各 自发 展 中 形成 的 
差异 。Hacker 一 词 ， 最 初 曾 指 热心 于 计算 机 技术 、 水 平 高 超 的 计算 机 专家 ， 尤 其 是 程序 设 
计 人 员 ， 逐 渐 区 分 为 白 帽 、 灰 帽 、 黑 帽 等 ， 其 中 黑 帽 〈Black Hat) 实际 就 是 Cracker。 到 了 
今天 ， 缺 乏 常识 的 人 们 都 认为 :“ 黑 客 ” 一 词 泛 指 那些 专门 利用 计算 机 病毒 搞 破坏 的 家 伙 ， 
但 事实 上 黑客 只 是 指 在 计算 机 方面 有 造 话 的 人 。 在 媒体 报道 中 ,“ 黑 客 ” 一 词 常 指 那些 软件 
骇 客 〈Software Cracker)， 而 与 黑客 相对 的 是 红 客 。 当 然 ， 也 有 正义 的 黑客 。 

“黑客 ”大 都 是 程序 员 ， 他 们 对 于 操作 系统 和 编程 语言 有 着 深刻 的 认识 ， 乐 于 探索 操 
作 系 统 的 奥秘 且 善 于 通过 探索 了 解 系统 中 的 漏洞 及 其 原因 所 在 ， 他 们 恪守 这 样 一 条 准则 : 
Never damage any system 〈 永 不 破坏 任何 系统 )。 他 们 近乎 疯狂 地 钻研 计算 机 系统 知识 并 乐 
于 与 他 人 共享 成 果 。 他 们 一 度 是 计算 机 发 展 史 上 的 英雄 ， 为 推动 计算 机 的 发 展 起 到 了 重要 
的 作用 。 在 网 络 刚 兴 起 时 ， 从 事 黑客 活动 就 意味 着 对 计算 机 的 潜力 进行 人 类 智力 上 最 大 程 
度 的 发 据 。 国 际 上 的 著名 黑客 均 强 烈 支 持 信息 共享 论 ， 认 为 信息 、 技 术 和 知识 都 应 当 被 所 
有 人 共享 ， 而 不 能 为 少数 人 所 垄断 。 大 多 数 黑客 都 具有 反 社 会 或 反 传统 的 色彩 ， 同 时 ， 另 
外 一 个 特征 是 十 分 重视 团队 的 合作 精神 。 

显然 ,“ 黑 客 ” 一 词 原来 并 没有 丝毫 的 贬义 成 分 。 直 到 后 来 ， 少 数 怀 着 不 良 的 企图 ， 
利用 非法 手段 获得 的 系统 访问 权 去 浆 入 远程 计算 机 系统 、 破 坏 重 要 数据 ， 或 为 了 自己 的 私 
利 而 制造 麻烦 的 具有 恶意 行为 特征 的 人 《他 们 其 实 是 骇 客 Crack) 慢 慢 焉 污 了 “黑客 ”的 
名 声 ,“ 黑 客 ” 才 逐渐 演变 成 入 侵 者 、 破 坏 者 的 代名词 。 

目前 ， 黑 客 已 成 为 一 个 特殊 的 社会 群体 ， 在 欧美 等 国有 不 少 完全 合法 的 黑客 组 织 ， 黑 
客 们 经 常 召开 黑客 技术 交流 会 。1997 年 11 月 ， 在 纽约 就 召开 了 第 一 次 世界 黑客 大 会 ， 
会 者 达 四 五 千 人 ， 堪 称 一 次 “黑客 ”大 阅兵 。 黑 客 竞 赛 是 大 会 最 吸引 人 的 主题 ， 顶 尖 黑 客 
会 获得 不 菲 的 奖金 。2006 年 4 月 ， 韩 国 首尔 举行 的 为 期 两 天 的 “黑客 竞技 擂台 ”上 ， 美 军 
就 有 人 在 现场 等 着 “ 控 人 ”。 来 自 瑞典 、 西 班 牙 、 美 国 、 意 大 利 、 韩 国 等 36 名 参赛 者 ， 组 
成 8 个 “顶级 黑客 ”小 组 ， 各 自 显示 高 超 的 黑客 技术 。 其 中 ， 只 有 那些 被 各 国安 全 部 门 列 
入 “重点 监控 对 象 ” 名 单 的 世界 顶级 黑客 才能 跻身 决赛 选手 之 列 。 举 办 方 负 责 人 说 :“ 举 办 
这 次 大 赛 的 目的 是 挖掘 出 之 前 未 被 发 现 的 黑客 ,在 确认 其 实力 后 ， 培 养 成 专家 。”2010 年 8 
月 ， 美 国 一 个 名 为 “警戒 ”的 网 站 人 员 在 出 席 拉 斯 维 加 斯 “世界 黑客 大 会 ”时 声称 ， 他 们 
作为 民间 组 织 ， 一 直 与 政府 有 秘密 合作 ， 任 务 是 “通过 网 络 搜寻 线索 ， 以 打击 网 络 袭 击 、 
恐怖 主义 和 贩毒 集团 “和 警戒 ”还 宣称 ， 他 们 在 22 个 国家 设 有 情报 收集 员 ， 并 准备 扩招 
1750 名 “通过 审查 的 志愿 者 ”“ 做 政府 不 能 做 的 事 ”。2011 年 ， 在 “世界 黑客 大 会 ”上 ， 
主办 方 首次 开设 一 个 儿童 班 ， 计 划 招 收 8 一 16 岁 的 孩子 。 其 中 大 多 数 报名 者 都 是 黑客 们 自 
己 的 孩子 或 亲 威 。2014 年 ， 黑 客 大 会 的 一 个 重要 议题 是 “怎样 能 破解 一 切 ” 从 这 些 大 会 
的 内 容 上 可 以 看 出 网 络 威胁 越 来 越 严 峻 。 

另 一 方面 ， 黑 客 组 织 在 因特网 上 利用 自己 的 网 站 介绍 黑客 攻击 手段 、 免 费 提供 各 种 黑 
客 工具 软件 、 出 版 网 上 黑客 杂志 。 这 使 得 普通 人 也 很 容易 下 载 并 学 会 使 用 一 些 简 单 的 黑客 
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手段 或 工具 对 网 络 进行 某 种 程度 的 攻击 ， 进 一 步 恶化 了 网 络 安全 环境 。 
1.3.2 ”黑客 会 做 什么 


很 多 人 曾经 问 :“ 黑 客 平时 都 做 什么 ? 是 不 是 非常 刺激 ? ”也 有 人 对 黑客 的 理解 是 “天 
天 做 无 聊 且 重复 的 事情 ”。 实际 上 这 些 又 是 一 个 错误 的 认识 , 黑客 平时 需要 用 大 量 的 时 间 学 
习 ， 由 于 学 习 黑 客 技 术 完 全 出 于 个 人 爱好 ， 因 此 无 所 谓 “无聊 ” 重复 是 不 可 避免 的 ， 因 为 
“ 熟 能 生 巧 ”只 有 经 过 不 断 的 练习 、 实 践 ， 才 可 能 自己 体会 出 一 些 只 可 意 会 、 不 可 言传 的 
心得 。 

在 学 习 之 余 ， 黑 客 应 该 将 自己 所 掌握 的 知识 应 用 到 实际 当中 。 无 论 是 哪 种 黑客 做 出 来 
的 事情 ， 根 本 目的 无 非 是 在 实际 中 掌握 自己 所 学 习 的 内 容 。 黑 客 的 行为 主要 有 以 下 几 种 : 

1. 学 习 技 术 

互联 网 上 的 新 技术 一 旦 出 现 ， 黑 客 就 必须 立刻 学 习 ， 并 用 最 短 的 时 间 掌 握 这 项 技术 ， 
这 里 所 说 的 掌握 并 不 是 一 般 的 了 解 ， 而 是 阅读 有 关 的 “协议 ”深入 了 解 此 技术 的 机 理 ， 否 
则 一 旦 停止 学 习 ， 那 么 依靠 他 以 前 掌握 的 内 容 维 持 他 的 “黑客 身份 ” 超 不 过 一 年 。 

初级 黑客 要 学 习 知 识 是 比较 困难 的 ， 因 为 他 们 没有 基础 ， 所 以 学 习 起 来 要 接触 非常 多 
的 基本 内 容 。 当 今 的 互联 网 能 够 给 使 用 者 提供 足够 多 的 信息 , 初学 者 需要 在 其 中 进行 筛选 : 
太 深 的 内 容 可 能 会 给 学 习 带 来 困难 ， 太 “花哨 ”的 内 容 又 对 学 习 黑 客 没 有 用 处 。 所 以 初学 
者 不 能 贪 多 ， 应 该 尽量 寻找 一 本 书 和 适合 自己 的 完整 教材 ， 循 序 渐进 地 进行 学 习 。 

2. 伪装 自己 

黑客 的 一 举 一 动 都 会 被 服务 器 记录 下 来 ， 所 以 黑客 必须 伪装 自己 使 得 对 方 无 法 辨别 其 
真实 身份 ， 这 需要 有 熟练 的 技巧 ， 用 来 伪装 自己 的 下 地址、 使 用 跳板 逃避 跟踪 、 清 理 记录 
扰乱 对 方 线索 、 巧 妙 躲 开 防 火 墙 等 。 

伪装 是 需要 非常 过 硬 的 基本 功 才能 实现 的 ， 这 对 于 初学 者 来 说 是 很 困难 的 ， 也 就 是 说 
初学 者 不 可 能 用 很 短 的 时 间 学 会 伪装 ， 所 以 不 鼓励 初学 者 利用 自己 所 学 习 的 知识 对 网 络 进 
行 攻击 ， 和 否则 一 旦 自己 的 行 迹 败露 ， 最 终 受 害 的 是 自己 。 

3. 发 现 漏洞 

漏洞 对 黑客 来 说 是 最 重要 的 信息 ， 黑 客 要 经 常 学 习 别 人 发 现 的 漏洞 ， 努 力 寻找 未 知 的 
漏洞 ， 并 从 海量 的 漏洞 中 寻找 有 价值 的 、 可 被 利用 的 漏洞 进行 试验 。 当 然 ， 他 们 最 终 的 目 
的 是 通过 漏洞 进行 破坏 或 修补 这 个 漏洞 。 
黑客 对 寻找 漏洞 的 执着 是 常人 难以 想象 的 ， 他 们 的 口号 是 “打破 权威 ”从 一 次 又 一 
次 的 黑客 实践 中 ， 黑 客 也 用 自己 的 实际 行动 向 世人 印证 了 这 一 点 一 一 世界 上 没有 “不 存在 
漏洞 ”的 程序 。 在 黑客 眼中 ， 所 谓 的 “和 天衣无缝” 不 过 是 “没有 找到 ”而 已 。 

4. 利用 漏洞 

对 于 正派 黑客 来 说 ， 漏 洞 要 被 修补 ， 对 于 政 派 黑客 来 说 ， 漏 洞 要 用 来 搞 破 坏 。 而 他 们 
的 基本 前 提 是 “利用 漏洞 ” 黑客 利用 漏洞 可 以 做 下 面 的 事情 : 

(1) 获得 系统 信息 。 有 些 漏 洞 可 以 泄露 系统 信息 ， 暴 露 敏感 资料 ， 从 而 进一步 入 侵 系统 。 

(2) 入 侵 系统 。 通 过 漏洞 进入 系统 内 部 ， 取 得 服务 器 上 的 内 部 资料 ， 或 完全 掌管 服务 器 。 

(3) 寻找 下 一 个 目标 。 一 个 胜利 意味 着 下 一 个 目标 的 出 现 ， 黑 客 应 该 充分 利用 自己 已 
经 掌管 的 服务 器 作为 工具 ， 寻 找 并 入 侵 下 一 个 系统 。 


(4) 做 一 些 好 事 。 正 派 黑客 在 完成 上 面 的 工作 后 ， 就 会 修复 漏洞 或 者 通知 系统 管理 
员 ， 做 出 一 些 维护 网 络 安 全 的 事情 。 

(5) 做 一 些 坏事 。 那 派 黑客 在 完成 上 面 的 工作 后 ， 会 判断 服务 器 是 否 还 有 利用 价值 。 
如 果 有 利用 价值 ， 他 们 会 在 服务 器 上 植 入 木马 或 者 后 门 ， 便 于 下 一 次 来 访 ， 而 对 于 没有 利 
用 价值 的 服务 器 他 们 绝 不 留情 ， 系 统 衣 省会 让 他 们 有 无 限 的 快感 。 


1.3.3 黑客 攻击 


黑客 攻击 即 黑客 破坏 和 破解 计算 机 程序 、 系 统 从 而 危及 网 络 安全 ， 是 网 络 攻击 中 最 常 
见 的 现象 。 其 攻击 手段 可 以 分 为 破坏 性 攻击 和 非 破 坏 性 攻击 两 类 。 前 者 是 以 侵入 他 人 计算 
机 系统 ， 盗 窃 系 统 的 保护 信息 ， 破 坏 目标 系统 数据 为 目的 。 后 者 通常 是 为 了 扰乱 系统 的 运 
行 ， 并 不 是 盗窃 系统 资料 ， 攻 击 手段 包括 拒绝 服务 攻击 和 信息 炸弹 。 

2011 年 年 初 ， 美 国 南 加 州 一 家 大 型 供水 企业 计划 探测 工业 控制 系统 的 漏洞 ， 便 雇用 洛 
杉 矶 著名 黑客 马克 ，。 迈 弗 雷 特 进行 测试 。 仅 一 天 时 间 ， 迈 弗 雷 特 就 控制 了 对 饮用 水 进行 化 
学 处 理 的 设备 。 他 只 需 轻 点 几 下 鼠标 ， 就 能 让 数 百 万 家 庭 的 饮用 水 不 能 饮用 。 事 实 上 ， 被 
迈 弗 雷 特 攻击 劫持 的 工业 控制 系统 还 广泛 应 用 在 输油管 道 、 化 工厂 、 电 力 网 络 等 基础 设施 
上 。 一 旦 系统 遭 到 攻击 ， 街 区 就 可 能 爆炸 、 银 行 数 据 可 能 丢失 、 飞 机 导航 可 能 失灵 ， 甚 至 
造成 全 国 性 的 大 面积 停电 事故 ， 危 害 极为 巨大 。 

黑客 攻击 经 常 是 有 组 织 的 网 络 犯罪 。 互 联网 作为 个 人 、 政 治 和 商业 活动 的 平台 ， 以 及 
金融 、 知 识 产 权 交易 的 重要 媒介 ， 自 然 会 被 犯罪 分 子 所 利用 。 与 传统 的 有 组 织 犯罪 所 不 同 ， 
有 组 织 的 网 络 犯罪 活动 既 包 括 借 助 互联 网 而 进行 的 传统 犯罪 活动 ， 诸 如 网 络 赌博 、 网 络 洗 
钱 、 网 络 色情 等 ; 也 包括 互联 网 所 独 有 的 犯罪 活动 ， 如 网 络 推手 炒作 、 网 络 私服 外 挂 诈骗 、 
窃取 重要 网 络 信息 、 非 法 网 络 集资 诈骗 等 。21 世纪 的 网 络 犯罪 组 织 有 着 高 超 的 网 络 技术 ， 
甚至 有 着 完善 的 人 事 组 织 制度 ， 它 们 注重 组 织 内 部 的 合作 ， 在 互联 网 上 进行 跨 区 域 、 跨 国 
界 的 有 组 织 犯 罪 。 单 靠 某 一 国 的 力量 ， 对 这 一 类 犯罪 已 无 法 彻底 根除 ， 必 须 形成 一 种 国际 
间 的 联合 ， 才 能 给 其 以 有 效 打击 。 

我 国 是 世界 上 黑客 攻击 的 主要 受害 国之 一 。 据 不 完全 统计 ，2009 年 中 国 被 境外 控制 的 
计算 机 了 P 地 址 达 100 多 万 个 ; 被 黑客 算 改 的 网 站 达 4.2 万 个 ; 被 “ 飞 客 ”蠕虫 网 络 病毒 感 
染 的 计算 机 每 月 达 1800 万 台 ， 约 占 全 球 感染 主机 数量 的 30% 。 值 得 注意 的 是 ， 黑 客 攻击 
行为 正在 呈现 出 政治 化 、 集 团 化 的 趋势 ， 甚 至 被 某 些 国家 上 升 为 获得 国际 利益 的 手段 。 

2011 年 8 月 29 日 ， 最 高 人 民法 院 和 最 高 人 民 检察 院 联合 发 布 《 关 于 办 理 危 害 计 算 机 
信息 系统 安全 刑事 案件 应 用 法 律 若干 问题 的 解释 》。 该 司法 解释 规定 , 黑客 非法 获取 支付 结 
算 、 证 券 交 易 、 期 货 交 易 等 网 络 金 融 服 务 的 账号 、 口 令 、 密 码 等 信息 10 组 以 上 ， 可 处 3 
年 以 下 有 期 徒刑 等 刑罚 ;获取 上 述 信息 50 组 以 上 的 ， 处 3 年 以 上 7 年 以 下 有 期 徒刑 。 
1.3.4 史上 最 危险 的 计算 机 黑客 

1.， 凯 文 。 米 特 尼 克 〈Kevin Mitnick) 

从 某 种 意义 上 讲 ， 凯 文 。 米 特 尼克 也 许 已 经 成 为 黑客 的 同义词 。 美 国 司法 部 曾经 将 米 
特 尼克 称 为 “美国 历史 上 被 通缉 的 头号 计算 机 罪犯 ”他 的 所 作 所 为 已 经 被 记录 在 两 部 好 莱 
坞 电影 中 ， 分 别 是 Takedown 和 Freedom Downtime。 
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米 特 尼克 “事业 ”的 起 点 是 破解 洛杉矶 公交 车 打卡 系统 ， 他 因此 得 以 免费 乘 车 。 在 此 
之 后 ， 他 也 同 苹果 联合 创始 人 史 蒂 夫 。 沃 效 尼 亚 克 (Steve Wozniak) 一 样 ， 试 图 盗 打 电话 。 
米 特 尼克 首次 被 宣判 有 罪 是 因为 非法 侵入 Digital Equipment 公司 的 计算 机 网 络 ， 并 窃取 
软件 。 

之 后 的 两 年 半 时 间 里 ， 米 特 尼克 展开 了 疯狂 的 黑客 行动 。 他 开始 侵入 计算 机 ， 破 坏 电 
话 网 络 ， 窃 取 公 司 商业 秘密 ， 并 最 终 冯 入 了 美国 国防 部 预警 系统 。 最 终 ， 他 因为 入 侵 计 算 
机 专家 、 黑 客 Tsutomu Shimomura 的 家 用 计算 机 而 落网 。 在 长 达 5 年 零 8 个 月 的 单独 监禁 
之 后 ， 米 特 尼 克 现 在 的 身份 是 一 位 计算 机 安全 作家 、 顾 问 和 演讲 者 。 

2. 阿 德里 安 。 拉 莫 〈(Adrian Lamo) 

拉 黄 专门 找 大 公司 或 组 织 下 手 ， 如 入 侵 微 软 公司 和 《纽约 时 报 》 的 内 部 网 络 。 他 经 常 
利用 咖啡 店 、 复 印 店 或 图 书馆 的 网 络 来 从 事 黑客 行为 ， 因 此 他 获得 了 一 个 “不 回 家 的 黑客 ” 
的 绰号 。 拉 芮 经 常 能 发 现 安全 漏洞 ， 并 对 其 加 以 利用 。 通 常情 况 下 ， 他 会 通知 企业 有 关 漏 
洞 的 信息 。 

在 拉 英 的 受害 者 名 单 上 包括 雅虎 、 花 旗 银 行 、 美 洲 银行 和 Cingular 等 知名 公司 。 白 帽 
黑客 这 样 做 并 不 违法 , 因为 他 们 受 雇 于 公司 。 但是, 拉 葛 却 从 事 着 非法 行为 。 由 于 侵入 《 纽 
约 时 报 》 内 部 网 络 ， 拉 莫 成 为 项 尖 数 码 罪 犯 之 一 。 也 正 是 因为 这 一 罪行 ， 他 被 处 以 6.5 万 
美元 罚款 ， 以 及 6 个 月 家 庭 禁闭 和 两 年 缓刑 。 拉 莫 现 在 是 一 位 著名 的 公共 发 言 人 ， 同 时 还 
是 一 名 获奖 记者 。 

3. 乔纳森 . 詹姆斯 (Jonathan James) 

在 16 岁 时 ， 人 詹姆斯 成 为 了 第 一 名 因为 黑客 行为 而 被 送 入 监狱 的 未 成 年 人 ， 并 因此 亚 
名 远 播 。 他 此 后 承认 自己 当初 只 是 为 了 好 玩 和 寻求 挑战 。 

詹姆斯 曾经 入 侵 过 很 多 著名 组 织 ， 包 括 美 国 国防 部 下 设 的 国防 威胁 降低 局 。 通 过 此 次 
黑客 行动 ， 他 可 以 捕获 用 户 名 和 密码 ， 并 浏览 高 度 机 密 的 电子 邮件 。 詹 姆 斯 还 曾 入 侵 过 美 
国 宇航 局 的 计算 机 ， 并 窃 走 价值 170 万 美元 的 软件 。 据 美国 司法 部 长 称 ， 他 所 窃取 的 软件 
主要 用 于 维护 国际 空间 站 的 物理 环境 ， 包 括 对 湿度 和 温度 的 控制 。 

当 人 詹姆斯 的 入 侵 行为 被 发 现 后 ， 美 国 宇 航 局 被 迫 关闭 了 整个 计算 机 系统 ， 并 因此 花费 
了 纳税 人 的 4.1 万 美元 。 目 前 ， 人 詹姆斯 成 立 了 一 家 计算 机 安全 公司 。 

4. 罗伯特 ，。 塔 潘 。 莫 里 斯 (Robert Tappan Morris) 

英里 斯 的 父亲 是 前 美国 国家 安全 局 的 一 名 科学 家 ， 他 是 英里 斯 蠕虫 的 制造 者 ， 这 是 首 
个 通过 互联 网 传播 的 蠕虫 。 正 因为 如 此 , 他 成 为 了 首位 依据 1986 年 《计算 机 欺诈 和 滥用 法 》 
被 起 诉 的 人 。 

英里 斯 在 康 奈 尔 大 学 就 读 期 间 制 作 了 蠕虫 ， 当 时 的 目的 仅仅 是 探究 互联 网 有 多 大 。 然 
而 ， 英里 斯 蠕虫 以 无 法 控制 的 方式 自我 复制 ， 造 成 很 多 计算 机 死机 。 据 专家 称 , 约 有 6000 
台 计 算 机 遭 到 破坏 。 他 最 后 被 判处 3 年 缓刑 、400 小 时 社区 服务 和 1.05 万 美元 罚款 。 
英里 斯 目前 是 麻 省 理工 大 学 计算 机 科学 和 人 工 智 能 实验 室 的 一 名 终身 教授 ， 主 攻 方向 
是 计算 机 网 络 架 构 。 

S， 凯 文 。 普 尔 森 (Kevin Poulsen) 

普尔 森 经 常 被 称 为 “黑暗 但 丁 ”， 他 因 非 法 入 侵 洛 杉 矶 KKIIS-FM 电话 线路 而 全 美 闻名 ， 
同时 也 因此 获得 了 一 辆 保时捷 汽车 。 就 连 美国 联邦 调查 局 (FBI) 也 开始 追查 普尔 森 ， 


为 他 阅 入 了 FBI 数据 库 和 联邦 计算 机 ， 目 的 是 获取 敏感 的 窃听 信息 。 

普尔 森 的 专长 是 入 侵 电话 线路 ， 他 经 常 占据 一 个 基站 的 全 部 电话 线路 。 普 尔 森 还 经 常 
重新 激活 黄页 上 的 电话 号 码 ， 并 提供 给 自己 的 伙伴 用 于 出 售 。 他 最 终 在 一 家 超市 被 捕 ， 并 
被 处 以 5 年 监禁 。 

在 监狱 服刑 期 间 ， 普 尔 森 担任 了 《 连 线 》 杂 志 的 记者 ， 并 升任 高 级 编辑 。 在 他 最 著名 
的 一 篇 文章 中 ， 主 要 讲述 了 他 如 何 通过 Myspace 个 人 资料 找到 744 名 性 犯罪 者 。 


1.3.5 ”网络 攻 击 分 类 


网 络 攻击 的 方法 多 种 多 样 ， 它 攻击 的 主要 目标 有 网 络 信息 的 保密 性 、 网 络 信息 的 完整 
性 、 网 络 服务 的 可 用 性 、 网 络 信息 的 非 否认 性 及 网 络 运营 的 可 控 性 。 攻 击 可 被 分 为 两 类 ， 
主动 攻击 和 被 动 攻击 。 

(1) 主动 攻击 : 包含 攻击 者 访问 他 所 需 信息 的 故意 行为 。 例 如 ， 远 程 登录 到 指定 机 器 
的 25 端口 找 出 公司 运行 的 邮件 服务 器 的 信息 ， 伪 造 无 效 P 地 址 去 连接 服务 器 ， 使 接收 到 
错误 卫 地 址 的 系统 浪费 时 间 去 连接 那个 非法 地 址 。 攻 击 者 是 在 主动 地 做 一 些 不 利于 你 或 你 
的 公司 系统 的 事情 。 正 因为 如 此 ， 如 果 要 找到 他 们 是 很 容易 的 。 主 动 攻击 包括 拒绝 服务 攻 
击 、 信 息 算 改 、 资 源 使 用 、 欺 骗 等 攻击 方式 。 

(2) 被 动 攻 击 : 主要 是 收集 信息 而 不 是 进行 访问 ， 数 据 的 合法 用 户 对 这 种 活动 一 点 也 
不 会 觉察 到 。 被 动 攻 击 包括 嗅 探 、 信 息 收集 等 攻击 方法 。 

这 样 的 分 类 方法 并 不 能 说 明 主 动 攻击 不 能 收集 信息 或 被 动 攻 击 不 能 被 用 来 访问 系统 。 
多 数 情况 下 这 两 种 类 型 被 联合 用 于 入 侵 一 个 站 点 。 但 是 ， 大 多 数 被 动 攻 击 不 一 定 包括 可 被 
跟踪 的 行为 ， 因 此 更 难 被 发 现 。 实 际 上 黑客 实施 一 次 入 侵 行为 ， 为 达到 他 的 攻击 目的 会 结 
合 采用 多 种 攻击 手段 ， 在 不 同 的 入 侵 阶段 使 用 不 同 的 方法 。 下 面 将 对 各 种 攻击 形式 分 别 介绍 。 
1.3.6 常见 网 络 攻击 形式 

网 络 攻击 中 的 牺牲 者 往往 是 一 些 中 小 型 的 局 域 网 ， 因 为 它们 的 网 络 安全 的 防御 和 反击 


能 力 都 相对 较 差 ， 故 而 在 各 种 “江湖 纷争 ”中 总 是 成 为 借 刀 杀人 中 的 “人 ”或 “ 刀 ”。 这 里 
简单 地 列 出 常见 的 攻击 形式 ， 如 图 1.3 所 示 。 
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图 1.3 常见 的 网 络 攻 击 形式 
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1. 逻辑 炸弹 

所 谓 “多 辑 炸弹 ”是 指 在 特定 逻辑 条 件 满足 时 ， 实 施 破坏 的 计算 机 程序 。 该 程序 触发 
后 造成 计算 机 数据 丢失 、 计 算 机 不 能 从 硬盘 或 者 软盘 引导 ， 甚 至 会 使 整个 系统 瘫痪 ， 并 出 
人 天 全 弄 让 

会 引发 连带 性 的 灾难 。 与 病毒 相 比 ， 它 强调 破坏 作用 本 身 ， 而 实施 破坏 的 程序 不 具有 传染 
性 。 地 辑 炸弹 人 为- 种 程序 ， 或 任何 部 分 的 程序 存在 ， 这 是 冬眠 ， 直 到 一 个 具体 作品 的 程 
序 逻 辑 被 激活 。 这 样 的 一 个 逻辑 炸弹 非常 类 似 于 真实 世界 的 地 雷 。 使 用 多 辑 炸弹 的 一 个 经 
典 应 用 是 要 确保 用 户 支付 软件 的 使 用 费用 。 如 果 到 某 一 特定 日 期 仍然 没有 付款 ， 人 逻辑 炸弹 
就 会 激活 ， 使 软件 自动 删除 其 自身 。 一 个 更 恶意 的 形式 ， 即 逻辑 炸弹 会 删除 系统 上 的 其 他 
数据 。 

2. 系统 Bug 

Bug 一 词 的 原意 是 “臭虫 ”或 “虫子 ”。 但 是 现在 ,在 计算 机 系统 或 程序 中 ， 如 果 隐 藏 
着 一 些 未 被 发 现 的 缺陷 或 问题 ， 人 们 也 叫 它 Bug。 所 谓 Bug 是 指 计算 机 系统 的 硬件 、 系 统 
软件 (如 操作 系统 ) 或 应 用 软件 (如 文字 处 理 软 件 ) 出 错 。 硬件 的 出 错 有 两 个 原因 : 一 是 
设计 错误 ， 二 是 硬件 部 件 老化 失效 等 。 

现在 的 软件 复杂 程度 早已 超出 了 一 般 人 能 控制 的 范围 , 如 Windows 操作 系统 会 不 定期 
地 公布 其 中 的 Bug， 这 些 Bug 对 网 络 安全 也 会 造成 重大 影响 ， 如 何 减 少 以 至 消灭 程序 中 的 
Bug 一 直 是 程序 员 极 为 重视 的 课题 。 

3. 社会 工程 学 

黑客 将 社会 工程 定义 为 非 计 算 机 Bug， 通 过 对 受害 者 心理 弱点 、 本 能 反应 、 好 奇 心 、 
信任 、 贪 禁 等 心理 陷阱 进行 诸如 欺骗 、 伤 害 等 危害 手段 ， 并 最 终 获 得 信息 为 最 终 目 的 学 科 ， 
在 计算 机 入 侵 中 此 词 条 被 经 常 使 用 和 广泛 定义 。 

社会 工程 学 是 黑客 米 特 尼克 在 《欺骗 的 艺术 》 中 所 提出 ， 但 其 初始 日 的 是 让 全 球 的 网 
民 们 能 够 懂得 网 络 安全 ， 提 高 警惕 ， 防 止 没 必 要 的 个 人 损失 。 an 
断 使 用 其 手段 欺骗 无 知 网 民 制 造 违 法 行为 , 社会 影响 恶劣 , 一 直 受 到 公安 机 关 的 严厉 打击 。 
et ee tines 如 出 版 的 《 黑 
客 社会 工程 学 》 已 被 公安 机 关 网 安 部 门 所 关注 ， 予 以 打击 。 一 切 使 用 黑客 技术 犯罪 的 行为 
都 将 受到 法 律 严厉 制裁 ， 请 读者 慎 用 这 把 “ 双 刃 剑 ”。 

所 有 社会 工程 学 攻击 都 建立 在 使 人 决断 产生 认 知 偏差 的 基础 上 。 有 时 候 这 些 偏差 被 称 
为 “人 类 硬件 漏洞 ” 足以 产生 众多 攻击 方式 ， 其 中 一 些 包 括 

(1) 假托 。 假 托 是 一 种 制造 虚假 情形 ， 以 迫使 针对 受害 人 吐露 平时 不 愿 泄露 的 信息 的 
手段 。 该 方法 通常 包括 对 特殊 情景 专用 术语 的 研究 ， 以 建立 合情合理 的 假象 。 

(2) 等 价 交 换 。 攻 击 者 伪装 成 公司 内 部 技术 人 员 或 问卷 调查 人 员 ， 要 求 对 方 给 出 密码 
ie 在 2003 年 信息 安全 调查 中 ,90% 的 办 公 室 人 员 答 应 给 出 自己 的 密码 以 换取 调 

人 员 声 称 提供 的 一 支 廉 价 钢笔 。 后 续 的 一 些 调查 中 也 发 现 用 巧克力 和 诸如 其 他 一 些小 诱 
ee ee et E 伪 装 成 公司 技术 支持 人 
员 ,“ 帮 助 ” 解 决 技术 问题 ， 悄 悄 植 入 恶意 程序 或 盗 取信 息 。 

4. 后 门 和 隐蔽 通道 

事实 上 没有 完美 无 缺 的 代码 ， 也 许 系统 的 某 处 正 潜伏 着 重大 的 隐蔽 通道 或 后 门 等 待人 


们 的 发 现 ， 区 别 只 是 在 于 谁 先 发 现 它 。 只 有 本 着 怀疑 一 切 的 态度 ， 从 各 个 方面 检查 所 输入 
信息 的 正确 性 ， 才 能 回避 这 些 缺 陷 。 例 如 ， 如 果 程 序 有 固定 尺寸 的 缓冲 区 ， 无 论 是 什么 类 
型 ， 一 定 要 保证 它 不 溢出 ;如 果 使 用 动态 内 存 分 配 ， 一 定 要 为 内 存 或 文件 系统 的 耗 尽 做 好 
准备 ， 并 且 牢 记 恢复 策略 可 能 也 需要 内 存 和 磁盘 空间 。 

S. 拒绝 服务 攻击 

拒绝 服务 攻击 即 攻击 者 想 办 法 让 目标 机 器 停止 提供 服务 或 资源 访问 ， 是 黑客 常用 的 攻 
击 手段 之 一 。 这 些 资源 包括 磁盘 空间 、 内 存 、 进 程 甚至 网 络 带宽 ， 从 而 阻止 正常 用 户 的 访 
问 。 其 实 对 网 络 带宽 进行 的 消耗 性 攻击 只 是 拒绝 服务 攻击 的 一 小 部 分 ， 只 要 能 够 对 目标 造 
成 麻烦 ， 使 某 些 服务 被 暂停 甚至 主机 死机 ， 都 属于 拒绝 服务 攻击 。 拒 绝 服务 攻击 问题 也 一 
直 得 不 到 合理 的 解决 ， 究 其 原因 是 由 于 网 络 协议 本 身 的 安全 缺陷 造成 的 ， 因 此 拒绝 服务 攻 
击 往往 成 为 攻击 者 的 终极 手法 。 攻击 者 进行 拒绝 服务 攻击 , 实际 上 让 服务 器 实现 两 种 效果 : 
一 是 迫使 服务 器 的 缓冲 区 满 ， 不 接受 新 的 请 求 ; 二 是 使 用 卫 欺骗 ， 迫 使 服务 器 把 合法 用 户 
的 连接 复位 ， 影 响 合 法 用 户 的 连接 。 

6. 病毒 、 蠕 虫 和 特洛伊 木马 

随 着 互联 网 的 日 益 流 行 ， 各 种 病毒 木马 也 猩 狐 起 来 ， 几 乎 每 天 都 有 新 的 病毒 产生 ， 大 
肆 传 播 破坏 ， 给 广大 互联 网 用 户 造成 了 极 大 的 危害 ， 几 乎 到 了 令 人 谈 毒 色 变 的 地 步 。 各 种 
病毒 、 蠕 虫 、 木 马 纷 至 省 来 ， 令 人 防不胜防 ， 苦 恼 无 比 。 

病毒 、 蠕 虫 和 特洛伊 木马 是 可 导致 计算 机 系统 和 计算 机 上 的 信息 损坏 的 恶意 程序 。 它 
们 可 使 网 络 和 操作 系统 速度 变 慢 ， 和 危害 严重 时 甚至 会 完全 破坏 整个 系统 。 它 们 还 可 使 感染 
到 的 计算 机 将 它们 传播 给 朋友 、 家 人 、 同 事 及 Web 的 其 他 地 方 ， 在 更 大 范围 内 造成 危害 。 
这 三 种 东西 都 是 人 为 编制 出 的 恶意 代码 ， 都 会 对 用 户 造 成 危害 ， 人 们 往往 将 它们 统称 为 病 
毒 。 但 其 实 这 种 称 法 并 不 准确 ， 它 们 之 间 虽 然 有 着 共性 ， 但 也 有 着 很 大 的 差别 。 详 细 内 容 
见 第 5 章 。 

7. 网 络 监听 

网 络 监 听 是 一 种 监视 网 络 状态 、 数 据 流 及 网 络 上 传输 信息 的 管理 工具 ， 它 可 以 将 网 络 
接口 设置 在 监听 模式 ， 并 且 可 以 截获 网 上 传输 的 信息 。 也 就 是 说 ， 当 黑客 登录 网 络 主机 并 
取得 超级 用 户 权限 后 ， 若 要 登录 其 他 主机 ， 使 用 网 络 监听 可 以 有 效 地 截获 网 上 的 数据 ， 这 
是 黑客 使 用 最 多 的 方法 。 但 是 ， 网 络 监听 只 能 应 用 于 物理 上 连接 于 同一 网 段 的 主机 ， 通 常 
被 用 做 获取 用 户口 令 。 

8. SQL 注入 攻击 

一 般 是 从 正常 的 广域网 端口 进行 访问 的 , 表面 上 看 与 普通 的 Web 页 面 访问 类 似 ,以 至 
于 有 许多 防火 墙 都 没有 对 SQL 注入 发 出 警报 。 在 访问 数据 库 的 时 候 , 应 用 程序 用 输入 的 内 
容 来 运行 动态 SQL 语句 便 会 发 生 SQL 注入 攻击 ; 还 有 当代 码 在 存储 过 程 中 ， 只 要 这 种 存 
储 过 程 传递 了 包含 未 筛选 的 用 户 输入 的 字符 串 也 可 能 发 生 SQL 注入 攻击 , 但 是 黑客 在 连接 
数据 库 时 的 应 用 程序 使 用 了 权限 过 高 的 账户 ， 就 会 将 问题 严重 化 。 这 就 要 求 服务 器 管理 员 
要 经 常 查看 IS 日 志 ， 将 这 种 破坏 带 来 的 损失 降 到 最 低 。SQL 注入 首先 要 判断 环境 ， 寻 找 
注入 点 ， 判 断 数据 库 类 型 ， 然 后 根据 注入 参数 类 型 ， 最 后 构造 SQL 注入 语句 。 

成 功 的 SQL 注入 攻击 可 能 带 来 下 面 的 严重 后 果 
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(1) 系统 管理 员 账 户 被 定 改 ， 数 据 库 服务 器 遭遇 攻击 。 

(2) 数据 表 中 的 资料 被 “ 盗 取 ” 例如 用 户 机 密 数 据 、 密 码 和 账户 数据 等 。 

(3) 黑客 探知 到 数据 结构 ， 得 以 做 进一步 攻击 。 例 如 为 了 获取 所 有 schema 的 具体 内 
容 ， 可 以 通过 执行 查询 select * from sys.tables 来 实现 。 

(4) 系统 的 较 高 权限 被 获取 后 ， 恶 意 连接 或 XSS 可 能 加 入 到 网 页 中 。 

(5) 操作 系统 是 由 数据 库 服 务 器 提供 支持 的 ， 可 能 被 黑客 修改 或 者 控制 。 

(6) 致使 硬盘 数据 被 破坏 ， 从 而 造成 整个 系统 的 瘫痪 。 

9. ARP 欺骗 

ARP 欺骗 是 黑客 常用 的 攻击 手段 之 一 。ARP 欺骗 分 为 两 种 : 一 种 是 对 路 由 器 ARP 表 
的 欺骗 ， 另 一 种 是 对 内 网 PC 的 网 关 欺 骗 。 

第 一 种 ARP 欺骗 的 原理 是 截获 网 关 数 据 . 它 通知 路 由 器 一 系列 错误 的 内 网 MAC 地 址 ， 
并 按照 一 定 的 频率 不 断 进 行 ， 使 真实 的 地 址 信息 无 法 通过 更 新 保存 在 路 由 器 中 ， 结 果 路 由 
器 的 所 有 数据 只 能 发 送 给 错误 的 MAC 地 址 ， 造 成 正常 PC 无 法 收 到 信息 。 第 二 种 ARP 其 
驴 的 原理 是 伪造 网 关 。 它 的 原理 是 建立 假 网 关 ， 让 被 它 欺骗 的 PC 向 假 网 关 发 送 数据 ， 而 
不 是 通过 正常 的 路 由 器 途径 上 网 。 在 PC 看 来 ， 就 是 上 不 了 网 了 ,“ 网 络 掉 线 了 ”。 

一 般 来 说 ，ARP 欺骗 攻击 的 后 果 非 常 严重 ， 大 多 数 情况 下 会 造成 大 面积 掉 线 。 除 了 掉 
线 之 外 ， 进 行 ARP 欺骗 攻击 时 还 会 出 现 以 下 一 些 现象 : 

(1) 网 上 银行 、 游 戏 及 QQ 账号 的 频繁 丢失 。 

一 些 人 为 了 获取 非法 利益 , 利用 ARP 欺骗 程序 在 网 内 进行 非法 活动 , 此 类 程序 的 主要 
目的 在 于 破解 账号 登录 时 的 加 密 解 密 算法 ， 通 过 截取 局 域 网 中 的 数据 包 ， 然 后 以 分 析 数 据 


通信 协议 的 方法 截获 用 户 的 信息 。 运 行 这 类 木马 病毒 ， 就 可 以 获得 整个 局 域 网 中 上 网 用 户 
账号 的 详细 信息 并 盗 取 。 


(2) 网 速 时 快 时 慢 ， 极 其 不 稳定 ， 但 单机 进行 光纤 数据 测试 时 一 切 正常 。 
局 域内 的 某 台 计算 机 被 ARP 的 欺骗 程序 非法 侵入 后 , 它 就 会 持续 地 向 网 内 所 有 的 计 
算 机 及 网 络 设备 发 送 大 量 的 非法 ARP 欺骗 数据 包 , 阻塞 网 络 通道 , 造成 网 络 设备 的 承载 过 
重 ， 导 致 网 络 的 通信 质量 不 稳定 。 

(3) 局 域 网 内 频繁 性 区 域 或 整体 掉 线 ， 重 启 计算 机 或 网 络 设备 后 恢复 正常 。 

当 带 有 ARP 欺骗 程序 的 计算 机 在 网 内 进行 通信 时 就 会 导致 频繁 掉 线 , 出 现 此 类 问题 后 
重启 计算 机 或 禁用 网 卡 会 暂时 解决 问题 ， 但 掉 线 情况 还 会 发 生 。 

ARP 欺骗 也 有 正当 用 途 。 其 一 是 在 一 个 需要 登录 的 网 络 中 ， 让 未 登录 的 计算 机 将 其 浏 
览 网 页 强制 转向 到 登录 页 面 ， 以 便 登录 后 才 可 使 用 网 络 。 另 外 ， 有 些 备 援 机 制 的 网 络 设 备 
或 服务 器 ， 也 需要 利用 ARP 欺骗 以 在 设备 出 现 故 障 时 将 信息 导 到 备用 的 设备 上 。 

也 许 用 户 还 遇 到 过 其 他 的 攻击 方式 ， 在 这 里 不 能 一 一 列举 ， 总 而 言 之 一 句 话 : 网 络 之 
路 ， 步 步 凶险 。 


上 


1.4 国内 网 络 安全 的 基本 现状 


在 网 络 黑客 们 的 眼中 ， 中 国 的 网 络 信息 几乎 毫 不 设防 ， 网 络 安 全 极为 脆弱 。 这 一 现象 
的 产生 主要 是 因为 以 下 几 点 : 


(1) 我 国 核心 网 络 技术 严重 依赖 国外 。 从 最 基本 的 计算 机 芯片 、 骨 干 路 由 器 到 操作 系 
统 、 数 据 库 管 理 系统 等 核心 技术 都 靠 进口 ， 对 国外 技术 的 依赖 性 很 大 。 

(2) 网 络 安全 意识 有 待 提 高 。 由 于 知识 匮乏 ， 信 息 不 对 称 ， 国 内 很 多 用 户 认 为 中 国 不 
会 发 生 普遍 性 的 服务 器 瘫痪 、 黑 客 攻 击 、 病 毒 感染 等 网 络 安全 事件 ， 甚 至 网 站 管理 人 员 都 
缺乏 防护 意识 ， 更 没有 采取 相应 的 安全 措施 。 

(3) 中 国 网 络 安防 产业 起 步 比较 晚 ， 处 在 起 步 阶 段 ， 产 业 规 横 水 平 有 待 提升 。 据 世界 
经 济 论坛 (WEF) 于 2010 年 发 布 的 《全 球 信息 技术 报告 》)(The Global Information Technology 
Report 2009 一 2010) 显示 ， 测 试 互联 网 安全 服务 器 指标 ， 中 国 仅 排 名 第 104 位 。 由 于 对 网 
络 安全 产业 政策 支持 不 够 ， 当 前 我 国 网 络 安全 产业 基本 在 挣扎 中 求生 存 。 以 个 人 计算 机 防 
病毒 软件 的 发 展 为 例 ， 为 了 争夺 客户 ， 目 前 各 大 杀毒 软件 商 还 处 于 亏损 状态 。 同 时 ， 频 发 
的 网 站 用 户 信息 泄露 事件 也 预示 着 ， 未 来 会 有 更 多 的 攻击 针对 网 站 服务 器 展开 ， 而 网 民 熟 
悉 的 杀毒 软件 重点 在 于 保护 用 户 端的 网 络 安全 ， 对 于 存储 在 网 站 服务 器 上 的 信息 安全 只 能 
甘 长 英 及 。 

(4) 网 络 安 全 管理 技术 不 够 先进 。 与 CSDN 被 泄露 的 信息 一 样 ,“ 天 涯 论坛 ”被 泄露 
的 用 户 密 码 全 部 以 明文 方式 保存 ， 尽 管 其 2009 年 11 月 修改 了 密码 保存 方式 ， 改 成 加 密 密 
码 ， 但 并 未 清理 旧 的 明文 密码 ， 导 致 数 千 万 注册 用 户 信息 泄 露 。 

2014 年 3 月 提交 全 国人 大 审议 的 政府 工作 报告 首次 出 现 “维护 网 络 安全 ”这 一 表述 ， 
部 分 全 国人 大 代表 在 接受 记者 采访 时 表示 ， 这 意味 着 网 络 安全 已 上 升 到 国家 战略 。 就 在 两 
会 前 夕 ， 中 央 网 络 安全 和 信息 化 领导 小 组 于 2014 年 2 月 27 日 成 立 ， 习 近 平 总 书记 担任 组 
长 ， 李 克 强 、 刘 云 山 任 副 组 长 。 中 央 网 络 安全 和 信息 化 领导 小 组 成 立 后 ， 短 期 内 会 调整 部 
分 政策 和 法 律 ， 中 期 会 进行 制度 设计 ， 对 投资 方向 、 部 门 结构 等 进行 调整 长 期 会 实现 在 
技术 力量 、 操 作 系统 、 基 础 设施 等 方面 的 提升 。 


1.4.1 中 国 网 民 信 息 安 全 总 体现 状 


整体 上 , 我 国信 息 安全 环境 不 容 乐观 ， 有 74.1% 的 网 民 在 2014 年 上 半年 遇 到 过 信息 安 
全 问题 ， 总 人 数 达 4.38 亿 。 

手机 垃圾 短信 、 骚 扰 短 信 、 骚 扰 电话 发 生 比例 仍然 较 高 ， 在 整体 网 民 中 发 生 比 例 分 别 
达 59.2%、49.0%; 其 次 为 手机 欺诈 、 诱 骗 信 息 ,发 生 比 例 为 36.3%; 再 次 为 手机 恶意 软件 ， 
发 生 比例 达 23.9%; 其 他 方面 ， 假 冒 网 站 、 诈 骗 网 站 发 生 比 例 为 21.6%; 中 病毒 或 木马 发 
生 比 例 为 17.6%; 个 人 信息 泄露 发 生 比例 为 13.4%; 账号 或 密码 被 盗 发 生 比例 为 8.9%。 

信息 安全 事件 对 人 们 的 影响 较 大 。 遭 受 安全 事件 的 人 群 中 ，50.4% 的 人 认为 “花费 时 
间 和 精力 ” 有 28.2% 的 人 学 习 或 工作 受到 了 影响 , 13.1% 的 人 重要 资料 或 联系 人 信息 丢失 ; 
还 有 8.8% 的 人 经 济 受 到 了 损失 。 安 全 事件 造成 的 各 种 损失 如 图 1.4 所 示 。 

在 遭受 经 济 损失 的 人 群 中 ， 平 均 每 人 损失 了 509.2 元 ，2014 年 上 半年 全 国 因 信息 安全 
遭受 的 经 济 损失 高 达 196.3 亿 元 。 

根据 安全 事件 发 生 的 种 类 数 及 遭受 损失 的 数量 来 划分 用 户 群 体 ， 重 度 受害 人 群 占 
16.2%， 轻 度 受害 人 群 占 28.3%， 风 险 人 群 占 29.6%， 安 全 人 群 占 25.9%。 


1.4.2 中 国 网 民 计算 机 上 网 安全 状况 


1. 搜索 引擎 安全 事件 类 型 及 发 生 比 例 
因 计 算 机 搜索 发 生 安全 问题 的 网 民 数 占 整体 计算 机 上 网 人 数 的 6.0%， 影 响 人 口 达 
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3004.6 万 人 。 虽然 发 生 问 题 的 比例 不 是 非常 高 , 但 由 于 网 民 基 数 大 , 影响 人 口 总 数 也 较 大 。 


0 10% 20% 30% 40% 50% 60% 


t 
花费 时 间 和 精力 DB 玫 于 关 0. 4% 


学 习 或 工作 受到 影响 sl 282% 


重要 资料 、 联 系 人 信息 等 丢失 ml 13.1% 
经 济 损失 中 8.8% 
其 他 1.1% 
没有 损失 | 390% 


图 1.4 安全 事件 造成 的 各 种 损失 


使 用 搜索 引擎 发 生 安全 事件 的 人 群 中 ， 遇 到 诈骗 信息 、 诈 骗 网 站 、 网 页 附带 木马 或 病 
毒 的 比例 非常 高 ， 分 别 为 72.7%、71.9%、67.2%。 结 果 搜 索 出 来 后 ， 用 户 不 小 心 就 会 点 击 
进入 到 一 些 网 站 分 类 网 站 、 论 坛 、 贴 吧 等 ) 所 发 布 的 诈骗 信息 中 ， 稍 有 不 慎 就 会 被 骗 。 
近期 钓鱼 网 站 /假冒 网 站 发 生 概率 也 较 大 ， 常 模仿 正常 的 网 站 页 面 ， 以 中 奖 、 彩 票 、 领 取 礼 
品 等 方式 骗取 用 户 金 钱 和 个 人 信息 。 搜 索 结果 中 鱼 目 混 杂 ， 很 多 不 良 网 站 上 附带 木马 或 病 
毒 ， 也 会 导致 用 户 发 生 安全 事件 。 虽 然 部 分 搜索 引擎 如 大 了 非法 网 站 过 滤 力 度 ， 并 采用 认 
证 的 方式 引导 用 户 点 击 安全 网 站 ， 但 仍 不 能 完全 杜绝 此 类 事件 发 生 。 

2. 网 络 购物 安全 事件 类 型 及 发 生 比 例 

因 计 算 机 网 上 购物 发 生 安全 问题 的 网 民 数 占 整体 计算 机 上 网 人 数 的 4.0%, 影响 人 口 达 
2010.6 万 人 。 计 算 机 网 上 购物 发 生 安全 事故 较 多 的 是 遇 到 欺诈 信息 ， 在 网 购 安 全 事故 发 生 
人 群 中 的 发 生 比 例 达 75.0%; 其 次 为 假冒 网 站 /诈骗 网 站 ， 比 例 为 60.7%; 其 他 方面 ， 个 人 
信息 泄露 比例 达 42.9%; 账号 密码 被 盗 比例 达 23.8%; 中 病毒 和 木马 的 情况 为 22.6%。 

网 购 时 发 生 这 些 安全 事件 ， 给 购物 者 造成 损失 的 同时 ， 也 扰乱 了 网 上 购物 秩序 ， 影 响 
网 络 购 物 行业 的 健康 发 展 。 对 于 网 购 安 全 防范 措施 ， 部 分 受 安全 困扰 的 网 民 防 范 措施 做 得 
不 太 到 位 : 虽然 有 92.1% 的 人 会 选择 密码 保护 或 修改 密码 ， 但 仅 有 86.5% 的 人 会 仔细 验证 
卖家 信誉 ，85.4% 的 人 不 去 不 知名 的 网 站 上 购买 货物 ，83.1% 的 人 申请 账号 验证 。 

3. 计算 机 浏览 网 页 安全 状况 

浏览 网 页 是 发 生 安全 事件 较为 普遍 的 上 网 活动 之 一 ，2014 年 上 半年 有 13.0% 的 计算 机 
端 网 民 浏览 网 页 时 发 生 过 安全 事件 。 

在 浏览 网 页 时 发 生 安全 事件 的 网 民 中 ， 接 触 欺诈 诱骗 信息 的 比例 达 72.7%， 遇 到 病毒 
或 木马 的 比例 达 70.9%， 浏 览 到 假冒 网 站 /诈骗 网 站 的 比例 为 63.0%， 账 号 密码 被 盗 的 比例 
为 18.3%。 当 前 尽管 互联 网 监管 措施 日 渐 完 善 ， 但 仍然 无 法 避免 一 些 诈骗 信息 和 网 站 横行 
于 互联 网 上 。 

4. 计算 机 即时 通信 安全 状况 

即时 通信 也 是 发 生 安全 事件 较为 普遍 的 活动 之 一 ，2014 年 上 半年 有 11.5% 的 计算 机 网 
民 发 生 过 即时 通信 类 的 安全 事件 。 在 使 用 即时 通信 时 发 生 安 全 事件 的 人 群 中 ，63.5% 的 人 


使 用 聊天 工具 时 接收 到 了 欺诈 信息 ，53.0% 的 人 通过 即时 通信 工具 接触 到 了 假冒 网 站 或 诈 
骗 网 站 ， 还 有 52.6% 的 人 账号 或 密码 被 盗 ，40.6% 的 人 中 了 病毒 或 者 木马 ，32.9% 的 人 个 人 
信息 遭 到 泄露 。 

当前 很 多 即时 通信 工具 都 推出 了 识别 链接 或 数据 包 安 全 性 的 工具 ， 此 类 安全 事件 发 生 
比例 已 经 有 所 减少 ， 但 仍然 不 能 完全 识别 所 有 通信 工具 上 来 往 信息 的 真 伪 ， 造 成 部 分 用 户 
利益 受 损 。 

S. 计算 机 网 上 下 载 安全 状况 

网 上 下 载 是 所 有 互联 网 应 用 中 发 生 安全 事件 比例 最 高 的 应 用 ，2014 年 上 半年 有 13.3% 
的 计算 机 网 民 下 载 时 发 生 过 安全 事件 。 

在 因特网 上 下 载 发 生 安全 事件 的 人 群 中 ， 有 86.1% 的 人 遇 到 了 数据 包 加 载 木 马 /病毒 等 
情况 ，53.8% 的 人 遇 到 过 网 上 发 布 的 欺诈 、 诱 骗 信息， 还 有 48.6% 的 人 遇 到 过 假冒 网 站 / 诈 
骗 网 站 。 当 前 很 多 不 知名 的 下 载 网 站 提供 免费 的 文件 下 载 ， 但 常 附 带 很 多 安装 条 件 ， 且 党 
伴随 着 木马 病毒 等 恶意 程序 , 用 户 下 载 后 如 不 进行 杀毒 即 运行 , 很 容易 遇 到 上 述 安全 事件 。 

对 于 网 上 下 载 遇 到 安全 问题 的 人 群 中 ， 只 有 82.4% 的 受害 者 不 安装 软件 捆绑 附带 的 功 
能 ，82.1% 的 网 民 不 点 击 运 行 不 明 工 具 ，78.4% 的 人 下 载 后 先 用 杀毒 工具 杀毒 后 再 打开 ， 
76.7% 的 人 从 不 去 不 知名 的 网 站 上 下 载 软件 。 部 分 网 民 网 上 下 载 过 程 中 ， 安 全 措施 做 得 不 
到 位 ， 导 致 各 种 安全 事件 有 了 可 乘 之 机 。 

6. 计算 机 网 络 游戏 安全 状况 

网 络 游戏 安全 事件 在 计算 机 网 民 中 的 发 生 比例 为 4.2%， 整体 比例 不 是 很 高 , 但 因为 网 
络 游戏 安全 事件 常常 是 账号 被 盗 、 装 备 被 卖 等 ， 此 类 安全 事件 对 网 民 的 影响 较 大 。 网 络 游 
戏 安全 问题 中 ， 最 常见 的 是 游戏 被 盗号 后 装备 被 卖 ， 占 因 玩 网 络 游戏 发 生 安全 事件 的 网 民 
的 56.0%， 这 也 是 职业 盗号 者 的 首要 目的 。 其 他 常见 的 安全 事件 为 中 病毒 或 木马 、 账 号 密 
码 被 盗 、 游 戏 中 欺诈 信息 、 个 人 信息 泄露 等 , 发 生 比例 分 别 为 52.7%、51.6%、51.6%、22.0%。 


1.4.3 ”中国 网 民 和 手机 信息 安全 状况 


智能 手机 上 网 用 户 群 中 ， 接 收 到 手机 垃圾 短信 /骚扰 短信 、 驭 扰 电话 的 比例 较 高 ， 分 别 
达 68.6% 和 57.2%， 遇 到 恶意 软件 的 比例 也 达到 了 33.2%。 

发 生 手机 安全 的 人 群 中 ， 除 了 骚扰 电话 和 骚扰 短信 外 ， 发 生 概率 最 多 的 是 手机 浏览 
页 ， 比 例 达 16.8%; 其 次 为 手机 游戏 ， 发 生 比 例 达 13.8%; 再 次 为 手机 聊天 工具 和 手机 下 
载 文 件 ， 发 生 比 例 在 12% 左 右 。 手 机 搜索 、 手 机 购物 、 手 机 支付 等 也 可 能 导致 安全 事件 。 

96.5% 的 网 民 在 计算 机 上 安装 了 安全 软件 ， 远 高 于 智能 手机 用 户 安装 安全 软件 70.0% 
的 比例 。 网 民 之 所 以 不 安装 安全 软件 ,“ 没 发 生 过 安全 事件 ， 不 需要 ”是 主要 原因 ， 还 有 
15% 左 右 的 人 担心 安装 后 设备 运行 或 上 网 速度 变 慢 。 此 外 ， 安 装 知识 欠缺、 对 安全 软件 不 
信任 ， 也 是 网 民 不 安装 安全 软件 的 原因 。 


1.4.4 中 国 网 民 信 息 安 全 环境 
近年 来 ， 随 着 网 民 信息 安全 意识 逐渐 提高 ， 维 护 安全 的 工具 性 能 的 提升 ， 中 国 网 民 大 


规模 遭受 到 同一 安全 事件 的 概率 逐渐 降低 。 但 近年 来 各 种 恶意 程序 的 变种 新 生 速 度 不 断 加 
快 , 每 天 都 有 海量 新 生 的 恶意 程序 威胁 着 普通 用 户 的 上 网 设备 (包括 计算 机 、 智能 手机 等 )， 
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而 且 除 恶意 程序 之 外 的 其 他 安全 问题 也 层出不穷 ， 网 民 面临 的 信息 安全 环境 仍然 复杂 。 当 
前 主要 的 信息 安全 类 型 如 下 : 
1. 恶意 程序 或 病毒 

a 潜伏 到 人 们 的 计 
算 机 或 手机 中 ， 通 过 删除 文件 、 破 坏 用 户 设备 系统 、 盗 取 网 民 资 料 、 窃 取 账 号 密码 、 恶 意 
刷 网 页 或 广告 流量 ， 损 害 他 人 利益 或 为 自己 谋 利 。 

2. 假冒 网 站 或 诈骗 网 站 

假冒 网 站 也 称 为 钓鱼 网 站 ， 通 过 模仿 银行 、 购 物 网 站 及 其 他 权威 网 站 的 网 页 设计 ， 骗 
取 网 络 用 户 的 钱财 或 盗 取 密码 等 信息 。 一 方面 ， 通 过 设立 虚假 网 站 骗取 用 户 登 录 ， 进 而 获 
取 用 户 账号 密码 ， 另 一 方面 ， 通 过 虚假 抽奖 页 面 ， 造 成 用 户 中 奖 的 假象 ， 骗 取 用 户 钱财 。 
其 他 方式 还 有 通过 虚假 购物 、 虚 假 医药 销售 等 方式 来 非法 牟利 。 此 类 网 站 往往 通过 手机 短 
信 、 即 时 通信 工具 发 送 网 址 ， 或 通过 木马 强制 弹出 或 转移 用 户 访问 其 页 面 ， 以 达到 其 非法 
目的 。 

3. 垃圾 /诈骗 短信 或 电话 

通过 电话 或 手机 短信 等 方式 发 布 各 种 诈骗 信息 或 大 量 垃圾 广告 ， 骗 取 用 户 钱财 或 者 非 
法 牟利 ， 常 用 方式 有 : 通过 语音 和 短信 告知 用 户 中 大 奖 , 或 者 以 熟人 身份 向 用 户 “ 借 ” 钱 ， 
以 达到 骗取 用 户 钱财 的 目的 ， 拨 打 用 户 电话 ， 接 通 之 后 便 挂 掉 ， 让 用 户 回 拨 以 收取 高 价 通 
， 等 方式 骗取 钱财 ;或 发 送 大 量 广告 信息 ， 驭 扰 用 户 。 此 类 事件 常 因 手 机 信息 网 上 泄露 

产生 ， 因 此 与 信息 安全 息息相关 。 

4. 网 络 其 他 诈骗 

通过 在 论坛 、 通 信 工 具 及 正常 网 页 上 发 布 招聘 、 购 物 等 信息 ， 一 步 一 步 引 导 网 民 陷 入 
其 编制 的 诈骗 圈套 中 ， 让 用 户 受害 。 
当前 , 针对 上 述 安 全 问题 而 开发 的 安全 软件 也 较 多 , 常见 的 有 安全 卫士 、 计 算 机 管家 、 
手机 管家 、 杀 毒 软件 及 防火 墙 等 。 尽 管 这 些 安全 软件 功能 已 经 较为 完备 ， 但 由 于 针对 信息 
安全 的 诈骗 和 攻击 手段 变化 多 端 ， 仅 安装 这 些 安全 软件 并 不 能 完全 使 用 户 解决 信息 安全 
问题 。 


1.5 个 人 数据 信息 面临 的 网 络 威胁 


1.5.1 Cookie 的 使 用 


Cookie 是 由 网 络 服 务 商 或 者 网 络 托管 商 为 了 跟踪 用 户 今后 的 访问 而 储存 在 用 户 计算 
机 里 的 一 小 段 信 息 。 它 被 植 入 能 在 用 户 计 算 机 和 服务 商 之 间 不 断 来 回 传输 的 HTML 信息 
中 。 通 过 Cookie 对 用 户 信息 的 收集 和 传输 ， 网 站 就 能 针对 网 络 用 户 的 喜好 、 习 惯 等 为 其 提 
供 量 身 定制 的 网 页 内 容 。 例 如 ， 提 供 个 性 化 的 网 络 搜索 引擎 、 储 存 用 户 在 购物 网 站 的 消费 
清单 等 。 而 且 在 大 多 数 情况 下 ,用 户 很 难 察觉 Cookie 的 存在 及 是 否 遭 到 存 取 。 只 要 用 户 访 
问 了 网 页 ， 网 络 服务 商 就 会 自动 地 接 入 相关 的 Cookie 读 取 和 储存 数据 。Cookie 的 运作 包 
括 两 个 步骤 : 首先， 在 没有 得 到 用 户 同 意 和 确认 的 情况 下 被 植 入 用 户 的 计算 机 。 例 如 ， 
Google 这 种 个 性 化 的 网 络 搜索 引擎 ， 当 用 户 从 网 页 上 选择 了 自己 感 兴趣 的 类 别 后 ， 网 络 服 


务 商 就 会 创建 一 个 Cookie 发 送 到 用 户 计 算 机 上 , 它 实 质 上 是 一 连 串 含有 用 户 喜好 的 跟踪 字 

符 。 用 户 的 网 络 浏览 器 在 收 到 Cookie 后 就 将 它 储 存在 一 个 名 为 “Cookie 列表 ”的 特定 文 

件 夹 中 。 以 上 的 所 有 行为 都 是 在 没有 任何 批准 和 用 户 同 意 的 情况 下 进行 的 。 然 后 ， 再 自动 

秘密 地 将 Cookie 由 用 户 计算 机 发 往 网 络 服务 商 。 无论 何 时 , 一 旦 用 户 通过 网 络 浏览 器 访问 

某 一 网 页 ， 浏 览 器 未 经 用 户 批 准 ， 就 将 含有 用 户 个 人 信息 的 Cookie 发 送 至 网 络 服务 商 。 
目前 ，Cookie 被 广泛 运用 于 以 下 几 个 方面 : 

1. 在 线 购 物 

通过 Cookie， 购 物 网 站 能 够 记 住 用 户 所 购买 的 东西 。 例 如 ， 某 一 用 户 在 购物 网 站 上 订 
购 CD 时 突然 掉 线 而 不 得 不 退出 浏览 ， 但 是 当 他 立即 或 者 更 久 以 后 重新 登录 ， 那 些 商品 仍 
然 在 他 的 购物 清单 里 。 另 一 方面 ， 网 站 根据 Cookie 反馈 的 信息 判断 用 户 的 购物 偏好 ， 从 而 
向 其 发 送 特定 的 商品 信息 。 例 如 ， 在 淘宝 网 购物 时 ， 当 登录 进入 “我 的 淘宝 ”页 面 时 ， 在 
左下 角 就 会 出 现 “ 猜 你 喜欢 的 宝贝 ”这 一 模块 ， 其 中 展示 的 商品 与 用 户 最 近 浏 览 较 多 的 商 
品类 似 。 

2. 提供 个 性 化 网 页 

这 是 最 受 欢 迎 的 一 个 服务 。 例 如 ， 某 用 户 登 录 某 门户 网 站 ， 他 可 以 通过 对 页 面 进行 设 
置 只 显示 自己 感 兴趣 的 信息 ， 这 也 同样 适用 于 网 络 首页 的 设置 。 

3. 简化 在 线 登 录 

用 户 初次 访问 某 网 页 时 ，Cookie 在 用 户 的 计算 机 上 创立 一 个 文件 并 写 一 段 信息 ， 以 此 
来 识别 用 户 。 当 用 户 下 一 次 登录 时 ， 该 网 站 就 自动 认证 用 户 身份 ， 而 不 需要 再 次 输入 用 户 
名 和 密码 。 

4. 网 站 追踪 

这 是 关于 Cookie 最 有 争议 的 一 点 。 如 果 网 站 经 营 者 想 知 道 用 户 的 兴趣 爱好 ， 通 过 
Cookie 的 记录 ， 他 就 能 够 了 解 到 用 户 浏 览 了 哪些 网 站 、 访 问 时 间 和 停留 时 间 等 ， 很 多 人 认 
为 这 是 对 个 人 信息 的 侵犯 。 

不 可 否认 ，Cookie 的 应 用 给 人 们 的 网 络 生活 带 来 了 极 大 方便 ， 但 一 些 商 家 也 开始 利用 
Cookie 的 特点 大 肆 收 集 网 络 用 户 的 个 人 信息 。 特 别 是 随 着 大 量 的 商务 和 社交 活动 通过 互联 
网 完成 ， 网 络 上 汇集 的 个 人 信息 种 类 越 来 越 多 ， 敏 感度 也 越 来 越 高 。Cookie 已 经 成 为 人 们 
络 信息 安全 的 一 大 威胁 。 


1.5.2 ”利用 木马 程序 侵入 计算 机 


木马 程序 ， 全 称 叫 做 特洛伊 木马 程序 〈Trojan Horse)， 这 个 名 称 来 源 于 荷 马 史诗 中 希 
腊 人 巧 施 木马 计 攻 克 特 洛 伊 城 的 故事 。 一 个 完整 的 木马 程序 一 般 由 两 个 部 分 组 成 :一 个 是 
服务 器 程序 ， 另 一 个 是 控制 器 程序 。 一 旦 计算 机 被 安装 了 服务 器 程序 ， 则 拥有 控制 器 程序 
的 人 就 将 享有 服务 端的 大 部 分 操作 权限 。 例 如 ， 给 计算 机 增加 口令 ， 浏 览 、 移 动 、 复 制 、 
删除 文件 ， 修 改 注 册 表 ,更 改 计算 机 配置 等 。 这 时 用 户 的 任何 操作 都 在 攻击 者 的 监控 之 下 ， 
用 户 计算 机 上 的 各 种 文件 、 程 序 及 使 用 的 账号 、 密 码 就 无 安全 可 言 了 。 木 马 程序 同 病 毒 、 
里 虫 等 其 他 恶意 程序 一 样 ， 会 自动 删除 、 修 改 文件 、 格 式 化 硬盘 等 。 但 是 木马 程序 还 有 其 
独一无二 的 窃取 内 容 和 远程 控制 功能 ， 这 也 使 它们 成 为 最 危险 的 恶意 软件 。 由 于 木马 可 以 
记录 和 监视 用 户 按键 顺序 ， 攻 击 者 就 能 够 轻松 窃取 用 户 的 账号 、 密 码 ， 从 而 威胁 个 人 医疗 
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信息 、 银 行 账户 的 安全 。 例 如 ,国家 计算 机 病毒 应 急 处 理 中 心 公布 的 叫做 TrojSpy_Banker.YY 
的 恶意 诱骗 用 户 暴露 个 人 银行 账号 密码 的 网 银 木马 。 该 木马 会 监视 浏览 器 正在 访问 的 网 页 ， 
如 果 发 现 用 户 正 在 登录 工商 银行 个 人 银行 ， 就 会 弹出 伪造 的 登录 对 话 框 ， 诱 骗 用 户 输入 登 
录 密 码 和 支付 密码 ， 通 过 邮件 将 窃取 的 信息 发 送出 去 。 根 据 《瑞星 2010 年 度 安全 报告 》 显 
示 ，2010 年 中 国 网 民 因为 病毒 破坏 计算 机 ， 木 马 窃 取 网 银 、 网 游 的 账号 密码 等 受到 的 直接 
经 济 损失 已 超过 10 亿 元 人 民 币 。 而 如 果 用 户 的 计算 机 还 带 有 麦克 风 或 者 摄像 头 , 木马 程序 
则 能 自动 启动 这 些 设备 ， 窃 听 谈 话 内 容 和 捕获 视频 内 容 。 


1.5.3 ”的 鱼网 站 


“钓鱼 网 站 ”是 指 不 法 分 子 利用 各 种 手段 ， 仿 冒 真实 网 站 的 URL 地 址 及 页 面 内 容 ， 或 
者 利用 真实 网 站 服务 器 程序 上 的 漏洞 在 站 点 的 某 些 网 页 中 插入 危险 的 HTML 代码 , 以 此 来 
骗取 用 户 “ 自 愿 ” 提 供 银 行 或 信用 卡 账号 、 密 码 等 私人 资料 。 在 这 种 侵权 方式 中 ， 不 法 分 
子 不 需要 主动 攻击 ， 他 只 需要 静 静 等 候 ， 一 旦 有 人 落 入 圈套 ， 其 填写 的 账号 、 密 码 等 个 人 
信息 就 成 为 不 法 分 子 的 圳 中 之 物 。 正 所 谓 “ 姜 太公 钓鱼 ， 愿 者 上 钧 ”。 

根据 《2012 年 中 国 反 钓鱼 网 站 联盟 工作 报告 》 显 示 ， 截 至 2012 年 11 月 20 日 ， 联 盟 
已 累计 认定 并 处 理 钓 鱼网 站 100 402 个 , 其 中 2012 年 1 一 11 月 共处 理 24 535 个 , 网 络 交 易 
类 〈74.38%)、 虚 假 中 奖 类 〈12.96%)、 人 金融 证 券 类 (12%) 网 站 位 列 钓鱼 攻击 的 前 三 位 。 
其 具体 操作 方法 为 : 在 网 络 交易 和 金融 证 券 中 ， 钓 鱼 者 通过 模仿 电子 商务 网 站 和 银行 等 在 
线 支 付 网 页 ， 骗 取 网 民 银 行 卡 信息 或 支付 宝 账户 和 密码 。2011 年 春节 期 间 ， 许 多 中 国 银行 
网 上 银行 用 户 都 收 到 了 这 样 的 一 条 短信 :“ 尊 敬 的 网 银 用 户 : 您 申请 的 中 行 E 令 行 卡 即将 
过 期 ， 请 尽快 登入 www.boczs.com 进行 升级 。 给 您 带 来 不 便 ， 敬 请 谅解 (中 国 银行 )”。 而 
事实 上 , 中国 银 行 的 网 址 为 www.boc.cn, 短信 中 提 及 的 www.boczs.com 就 是 典型 的 钓鱼 网 
站 。 它 的 页 面 伪造 的 与 真正 的 中 国 银 行 页 面 完 全 一 致 ， 用 户 为 了 升级 而 输入 的 账号 和 密码 
就 这 样 落 到 “钓鱼 者 ” 手 里 ， 然 后 “钓鱼 者 ”再 登录 真正 的 网 上 银行 将 用 户 账 上 的 存款 转 
移 。 虚 假 中 奖 类 的 操作 方式 为 “钓鱼 者 ”冒充 著名 节目 或 网 站 向 用 户 发 送 中 奖 网 页 为 诱饵 ， 
欺骗 网 民 填写 身份 信息 、 银 行 账户 等 信息 ， 如 2010 年 出 现 的 多 起 仿冒 “非常 6+1” 节 目 中 
奖 信息 骗取 网 民 钱财 的 网 络 诈骗 事件 .根据 《第 27 次 中 国 互联 网 络 发 展 状况 调查 统计 报告 》 
的 统计 ， 截 至 2010 年 12 月 ， 网 上 支付 用 户 规模 达到 1.37 亿 人 ， 使 用 率 为 30%， 比 2009 
年 年 底 增 加 了 4313 万 ， 增 长 率 高 达 45.9%。 这 一 广阔 的 市 场 让 “钓鱼 网 站 ”看 到 了 巨大 的 
利益 空间 ， 用 户 个 人 信息 的 网 络 安全 仍 面临 严峻 考验 。 


1.S.4 监视 网 络 通信 记录 


电子 邮件 和 QQ、MSN、SKYPE 这 样 的 聊天 软件 是 互联 网 上 最 常用 的 通信 工具 。 它 们 
快速 、 便 捷 的 特点 也 使 得 其 在 企业 日 常 运作 中 得 到 广泛 运用 ， 成 为 企业 提高 快速 反应 力 、 
扩大 生产 力 、 减少 纸张 使 用 等 方面 的 得 力 助 手 。 网 络 监控 网 站 Royal Pingdom 发 布 的 《2010 
互联 网 数据 》 和 《让 人 震惊 的 关于 即时 通信 的 数据 和 事实 》 这 两 份 统计 数据 显示 : 2010 年 
全 球 共 发 送 107 万 亿 封 电子 邮件 ,除去 89% 的 垃圾 邮件 , 一 年 的 发 送 量 仍然 达到 惊人 的 11 
万 亿 ， 平 均 每 天 300 多 亿 封 ， 而 其 中 的 1/4 都 是 企业 发 出 的 。 在 即时 信息 方面 ，2009 年 全 
球 10 亿 即 时 通信 用 户 平均 每 天 产生 470 亿 条 信息 ， 其 中 32% 来 源 于 企业 内 部 网 络 。 由 此 


可 见 ， 网 络 通信 已 成 为 企业 员工 日 常 办 公 不 可 缺少 的 交流 工具 。 

一 些 企 业 为 了 防止 员工 在 工作 时 间 利 用 即时 通信 闲聊 而 仍 工 ， 以 及 出 于 防止 职员 泄露 
企业 信息 的 目的 ， 开 始 在 工作 场所 安装 “电子 监控 系统 ”检查 职员 的 电子 邮件 内 容 和 聊天 
记录 。 我 们 认为 ， 企 业 的 此 种 行为 是 否 属于 侵犯 职员 个 人 信息 安全 的 行为 ， 应 根据 职员 在 
工作 场所 收发 电子 邮件 和 即时 信息 的 情况 而 区 别 定性 ， 第 一 种 情形 是 职员 通过 公共 网 络 中 
企业 注册 的 电子 邮件 和 即时 通信 账户 发 送信 息 ， 此 时 职员 对 通信 内 容 没 有 隐私 期 待 权 ， 企 
业 的 监督 是 合理 的 。 这 是 因为 既然 是 以 企业 名 义 注册 的 邮箱 和 账户 ， 那 么 就 可 推 知 其 只 能 
用 于 收发 与 工作 内 容 有 关 的 信息 ， 企 业 对 于 这 类 信息 当然 享有 知情 权 。 第 二 种 情形 是 职员 
通过 自己 在 公共 网 络 中 注册 的 电子 邮件 和 即时 通信 账户 收发 信息 。 这 种 情况 下 职员 就 享有 
对 这 部 分 信息 的 隐私 权 ， 企 业 应 对 其 监视 行为 承担 侵权 责任 。 第 三 种 情况 是 电子 邮件 和 即 
时 信息 的 收发 是 在 企业 内 部 网 络 中 完成 的 ， 此 时 企业 对 该 网 络 的 监督 也 是 合理 的 。 


1.5.5 手机 厂商 侵犯 隐私 


2011 年 国外 媒体 称 苹果 iPhone 和 谷歌 Android 智能 手机 定期 收集 用 户 的 地 理 位 置信 
息 ， 并 回 传 给 苹果 和 谷歌 。 这 引发 了 人 们 对 个 人 隐私 问题 的 担忧。 

隐私 权 是 指 公民 “ 享 有 的 私人 生活 安宁 与 私人 信息 依法 受到 保护 , 不 被 他 人 非法 侵扰 、 
知悉 、 搜 集 、 利 用 和 公开 的 一 种 人 格 权 ”。 用 通俗 的 话 讲 ， 隐 私 权 就 是 保护 个 人 不 欲 为 外 人 
所 知 的 私人 事务 。 这 是 一 种 范围 非常 广 的 概念 ， 因 而 没有 任何 一 部 立法 对 隐私 做 出 明确 而 
又 具体 的 定义 ， 然 而 隐私 已 涵盖 了 个 人 及 个 人 生活 的 几乎 所 有 环节 ， 成 为 现代 社会 保护 个 
人 利益 最 全 面 、 最 有 力 的 “借口 ”和 “手段 ”。 

2014 年 7 月 央视 《新 闻 直 播 间 》 了 曝光 了 蕴 果 iPhone 未 经 用 户 许可 擅自 采集 个 人 隐私 
一 事 。 央 视 调查 揭秘 指出 ， 在 苹果 IOS 7.0 版 本 中 ， 用 户 只 要 在 苹果 手机 上 使 用 软件 、 连 
接 WiFi， 用 户 使 用 软件 的 时 间 、 地 点 等 日 常 行 迹 信息 就 会 被 完全 记录 下 来 。 面 对 质疑 ， 苹 
果 首 次 公开 承认 了 收集 用 户 信息 的 事实 ， 这 一 行为 引发 了 国内 用 户 的 普遍 不 满 ， 也 为 消费 
者 购 机 再 次 敲 响 了 安全 警钟 。 

根据 央视 对 苹果 安全 门 事件 的 调查 显示 ， 苹 果 在 我 国 拥有 数 以 亿 计 的 手机 用 户 ， 而 大 
部 分 iPhone 用 户 对 其 擅自 采集 个 人 信息 一 事 并 不 知情 。 在 北京 、 青 岛 、 太 原 三 个 城市 随机 
走访 的 60 位 苹果 手机 用 户 ， 知 道 苹果 收集 个 人 隐私 信息 的 用 户 占 比 不 足 10%。 大 部 分 用 
户 在 了 解 这 一 事实 后 均 表 示 十 分 惊讶 ， 对 此 颇 为 不 满 。 

苹果 手机 中 的 定位 功能 可 以 显示 手机 用 户 经 常 活动 的 地 点 、 活动 的 时 间 、 活动 的 频率 。 
即使 用 户 将 定位 功能 关 掉 ， 后 台 系统 还 是 能 将 手机 软件 使 用 时 所 在 地 点 、 时 间 等 信息 完整 
地 记录 下 来 。 针 对 央视 的 上 曝光， 苹果 公司 强调 不 会 将 手机 用 户 的 详细 资料 透露 给 任何 第 三 
方 ， 但 是 并 未 对 传送 用 户 数 据 至 数据 库 进 行 否 认 。 但 实际 上 出 于 国家 安全 的 考虑 ， 美 国情 
报 部 门 的 特工 可 以 轻易 地 调 取 相 应 数据 进行 分 析 。 

不 少 用 户 表示 ， 荚 果 的 这 一 行为 严重 侵犯 了 个 人 隐私 安全 ， 且 毫 无 正面 作用 ， 负 面 性 
很 大 。 多 位 业内 专家 认为 ， 苹 果 的 侵权 行为 无 论 是 对 个 人 安全 还 是 国家 信息 安全 都 有 着 严 
重 的 威胁 ， 这 次 事件 从 行业 规范 和 法 律 角 度 都 存在 着 严重 的 问题 。 已 经 有 业内 人 士 呼吁 ， 
由 于 苹果 手机 是 硬件 、 软 件 和 云 服 务 等 完全 一 体 化 的 封闭 系统 ， 外 部 企业 和 安全 厂商 无 法 
插手 ， 应 要 求 党 政 军 及 掌控 关键 基础 设施 的 人 员 禁 止 使 用 苹果 手机 。 另 有 律师 建议 ， 在 鞋 
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果 公 司 存在 监控 窃取 用 户 秘密 信息 功能 的 情况 下 ， 相 关 部 门 应 暂时 叫 停 苹果 手机 在 中 国 大 
陆 的 销售 。 

据 报 道 ，2010 年 时 ， 苹 果 公司 曾 向 美国 国会 解释 手机 定位 功能 ， 称 用 户 数据 只 会 被 匿 
名 储存 ， 不 会 暴露 用 户 身 份 。2011 年 ， 美 国 国会 能 源 与 商业 委员 会 向 苹果 发 函 ， 要 求 苹果 
公司 解释 追踪 用 户 信息 的 详情 。 苹 果 公 司 表示 ， 定 位 数据 并 非 用 户 所 在 位 置 ， 而 是 苹果 一 


法 官 审 理 了 类 似 的 侵权 诉讼 ， 原 告 被 裁定 在 购买 iPhone 前 没有 阅读 苹果 的 隐私 条 款 。 

2014 年 12 月 中 国 台湾 地 区 国家 通信 传播 委员 会 (NCC) 宣布 ， 发 现 包括 苹果 在 内 的 
12 家 世界 主要 手机 厂商 违反 了 个 人 信息 保护 法 案 ， 有 收集 、 处 理 和 使 用 个 人 信息 的 行为 。 
中 国 台湾 地 区 国家 通信 传播 委员 会 相当 于 美国 的 FCC， 该 机 构 并 没有 公布 侵犯 隐私 法 的 细 
节 ， 不 过 表示 与 这 些 公司 提供 的 云 服务 有 关系 。NCC 在 调查 中 国 小 米 公 司 在 没有 授权 的 情 
况 下 收集 和 传输 用 户 数 据 时 发 现 了 这 几 家 公司 的 问题 。 

从 移动 互联 网 信息 安全 的 理论 上 看 ， 手 机 通信 安全 系统 有 4 个 层次 ， 第 一 层 是 从 空中 
通道 加 密 保护 ， 第 二 层 是 在 软件 系统 上 进行 保护 ， 第 三 层 是 在 数据 存储 上 加 密 保护 ， 第 四 
层 是 物理 隔离 保护 。 只 有 做 到 这 4 种 层次 全 方位 保护 ， 才 可 以 说 是 一 个 完整 的 安全 解决 方 
案 。 在 安全 解决 方案 上 ， 工 信 部 近 一 年 来 出 台 了 多 条 制度 规定 以 保护 消费 者 信息 安全 ， 国 
家 信息 安全 协会 也 对 个 人 信息 安全 保护 大 声 呼吁 。 业 内 人 士 指出 ， 在 很 长 一 段 时 间 里 ， 手 
机 安全 将 成 为 用 户 在 选择 智能 手机 时 考量 的 一 个 重要 因素 。 


1.6 常用 网 络 安全 技术 简介 


网 络 安全 技术 是 指 致力 于 解决 诸如 如 何 有 效 进行 介入 控制 ， 以 及 如 何 保 证 数据 传输 的 
安全 性 的 技术 手段 ， 常 用 到 的 包括 以 下 几 个 方面 的 技术 : 

1， 网 络 监控 技术 

网 络 监控 是 针对 局 域 网 内 的 计算 机 进行 监视 和 控制 ， 针 对 内 部 的 计算 机 上 互联 网 活动 
(上 网 监控 ) 及 非 上 网 相关 的 内 部 行为 《内 网 监控 )。 网 络 监控 产品 主要 分 为 监控 软件 与 监 
控 硬 件 两 种 。 随 着 互联 网 的 飞速 发 展 ， 互 联网 的 使 用 越 来 越 普遍 ， 网 络 和 互联 网 不 仅 成 为 
企业 内 部 的 沟通 桥梁 ， 也 是 企业 和 外 部 进行 各 类 业务 往来 的 重要 管道 。 

2. 认证 签名 技术 

认证 技术 主要 解决 网 络 通信 过 程 中 通信 双方 的 身份 认可 ， 数 字 签 名 作为 身份 认证 技术 
中 的 一 种 具体 技术 ， 同 时 还 可 用 于 通信 过 程 中 不 可 抵赖 要 求 的 实现 。 

3. 安全 扫描 技术 

网 络 安全 技术 中 ， 另 一 类 重要 的 技术 为 安全 扫描 技术 。 安 全 扫描 技术 与 防火 墙 、 安 全 
监控 系统 互相 配合 能 够 提供 很 高 安全 性 的 网 络 。 安 全 扫描 工具 通常 也 分 为 基于 服务 器 和 基 
于 网 络 的 扫描 器 。 

4. 密码 技术 

密码 学 是 信息 安全 等 相关 议题 ， 如 认证 、 访 问 控制 的 核心 。 密 码 学 的 首要 目的 是 隐藏 
信息 的 涵义 ， 并 不 是 隐藏 信息 的 存在 。 密 码 学 也 促进 了 计算 机 科学 ， 特 别 是 计算 机 与 网 络 
安全 所 使 用 的 技术 ， 如 访问 控制 与 信息 的 机 密 性 。 密 码 学 已 被 应 用 在 日 常生 活 中 ， 包 括 自 


动 柜 员 机 的 芯片 卡 、 计 算 机 使 用 者 存 取 密码 、 电 子 商务 等 。 

S. 防 病毒 技术 

计算 机 病毒 的 预防 技术 就 是 通过 一 定 的 技术 手段 防止 计算 机 病毒 对 系统 的 传染 和 破 
坏 。 实 际 上 这 是 一 种 动态 判定 技术 ， 即 一 种 行为 规则 判定 技术 。 也 就 是 说 ， 计 算 机 病毒 的 
预防 是 采用 对 病毒 的 规则 进行 分 类 处 理 ， 而 后 在 程序 运作 中 凡 有 类 似 的 规则 出 现 则 认定 是 
计算 机 病毒 。 具 体 来 说 ， 计 算 机 病毒 的 预防 是 通过 阻止 计算 机 病毒 进入 系统 内 存 或 阻止 计 
算 机 病毒 对 磁盘 的 操作 ， 尤 其 是 写 操作 。 预 防 病毒 技术 包括 磁盘 引导 区 保护 、 加 密 可 执行 
程序 、 读 写 控 制 技 术 、 系 统 监控 技术 等 。 

6. 防火 墙 技术 

网 络 防火 墙 技术 是 一 种 用 来 加 强 网 络 之 间 访 问 控制 ， 防 止 外 部 网 络 用 户 以 非法 手段 通 
过 外 部 网 络 进入 内 部 网 络 ， 访 问 内 部 网 络 资源 ， 保 护 内 部 网 络 操作 环境 的 特殊 网 络 互联 设 
备 。 它 对 两 个 或 多 个 网 络 之 间 传 输 的 数据 包 如 链接 方式 按照 一 定 的 安全 策略 来 实施 检查 ， 
以 决定 网 络 之 间 的 通信 是 否 被 允许 ， 并 监视 网 络 运行 状态 。 

防火 墙 产品 主要 有 堡垒 主机 、 包 过 滤 路 由 器 、 应 用 层 网 关 〈 代 理 服务 器 ) 及 电路 层 网 
关 、 屏 项 主机 防火 墙 、 双 宿主 机 等 类 型 。 

7. VPN 技术 

VPN (虚拟 专用 网 络 ) 的 功能 是 在 公用 网 络 上 建立 专用 网 络 ， 进 行 加 密 通 信 ， 在 企业 
网 络 中 有 着 广泛 的 应 用 。VPN 网 关 通 过 对 数据 包 的 加 密 和 数据 包 目 标 地 址 的 转换 实现 远程 
访问 。VPN 有 多 种 分 类 方式 ， 主 要 是 按 协 议 进 行 分 类 。VPN 可 通过 服务 器 、 硬 件 、 软 件 等 
多 种 方式 实现 。VPN 具有 成 本 低 ， 易 于 使 用 等 特点 。 

网 络 安全 的 技术 主要 包括 监控 、 扫 描 、 检 测 、 加 密 、 认 证 、 防 攻击 、 防 病毒 、 审 计 等 
几 个 方面 ， 其 中 加 密 技 术 是 核心 技术 ， 已 经 渗透 到 大 部 分 安全 产品 之 中 ， 并 正 向 芯片 化 方 
向 发 展 。 


1.7 常用 网 络 密码 安全 保护 技巧 


当前 ， 大 部 分 用 户 密码 被 盗 ， 多 是 因为 缺少 网 络 安全 保护 意识 及 自我 保护 意识 ， 以 致 
被 黑客 盗 取 引起 经 济 损失 。 下 面 将 讨论 一 下 针对 10 类 破解 方法 的 对 策 ， 也 举 出 10 类 密码 
安全 和 保护 技巧 ， 希 望 可 以 提高 读者 的 网 络 安全 意识 。 

1. 使 用 复杂 的 密码 

密码 穷 举 对 于 简单 的 长 度 较 短 的 密码 非常 有 效 ， 但 是 如 果 网 络 用 户 把 密码 设 的 较 长 一 
些 , 而 且 没 有 明显 的 规律 特征 (如 用 一 些 特殊 字符 和 数字 字母 组 合 ), 那么 穷 举 破解 工具 的 
破解 过 程 就 变 得 非常 困难 ， 破 解 者 往往 会 对 长 时 间 的 穷 举 失去 耐性 。 通 常 认为 ， 密 码 长 度 
应 该 至 少 大 于 6 位, 最 好 大 于 8 位 ,密码 中 最 好 包含 字母 、 数 字 和 符号 ,不 要 使 用 纯 数字 、 
常用 英文 单词 的 组 合 、 自 己 的 姓名 、 生 日 做 密码 。 

2. 使 用 软 键盘 

对 付 击 键 记 录 ， 目 前 有 一 种 比较 普遍 的 方法 就 是 通过 软 键盘 输入 。 软 键盘 也 叫 虚 拟 键 
盘 ， 用 户 在 输入 密码 时 ， 先 打开 软 键盘 ， 然 后 用 鼠标 选择 相应 的 字母 输入 ， 这 样 就 可 以 避 
免 木 马 记录 击 键 。 另外， 为 了 更 进一步 保护 密码 ， 用 户 还 可 以 打 乱 输入 密码 的 顺序 ， 这 样 
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就 进一步 增加 了 黑客 破解 密码 的 难度 。 

3. 使 用 动态 密码 (一 次 性 密码 ) 

动态 密码 (Dynamic Password) 指 用 户 的 密码 按照 时 间或 使 用 次 数 不 断 动态 变化 ， 每 
个 密码 只 使 用 一 次 。 动 态 密码 对 于 截屏 破解 非常 有 效 ， 因 为 即使 截屏 破解 了 密码 ， 也 仅仅 
破解 了 一 个 密码 ， 下 一 次 登录 不 会 使 用 这 个 密码 。 不 过 鉴于 成 本 问题 ， 目 前 大 多 数 动态 密 
码 卡 都 是 刊 纸 片 的 那 种 原始 的 密码 卡 ， 而 不 是 真正 意义 上 的 一 次 性 动态 密码 ， 其 安全 性 还 
是 难以 保证 。 真 正 的 动态 密码 锁 采 用 一 种 称 为 动态 令 牌 的 专用 硬件 ， 内 置 电源 、 密 码 生 成 
芯片 和 显示 屏 。 其 中 ， 数 字 键 用 于 输入 用 户 PIN 码 ; 显示 屏 用 于 显示 一 次 性 密码 。 每 次 输 
入 正确 的 PIN 码 ， 都 可 以 得 到 一 个 当前 可 用 的 一 次 性 动态 密码 。 由 于 每 次 使 用 的 密码 必须 
由 动态 令 牌 来 产生 ， 而 用 户 每 次 使 用 的 密码 都 不 相同 ， 因 此 黑客 很 难 计算 出 下 一 次 出 现 的 
动态 密码 。 不 过 真正 的 动态 密码 卡 成 本 在 100 一 200 元 , 较 高 的 成 本 限制 了 其 大 规模 的 使 用 。 

4. 网 络 钓鱼 的 防范 

防范 钓鱼 网 站 的 方法 ， 首 先 要 提高 警惕 ， 不 登录 不 熟悉 的 网 站 ， 不 要 打开 陌生 人 的 电 
子 邮 件 ， 安 装 杀毒 软件 并 及 时 升级 病毒 知识 库 和 操作 系统 补丁 。 使 用 安全 的 邮件 系统 ， 发 
送 重 要 邮件 要 加 密 ， 将 钓鱼 邮件 归 为 垃圾 邮件 。IE7 和 FireFox 有 网 页 防 钓鱼 的 功能 ， 访 问 
钓鱼 网 站 会 有 提示 信息 。 

S. 使 用 SSL 防范 Sniffer 

传统 的 网 络 服务 程序 ，HTTP、FTP、SMTP、POP3 和 TELNET 等 在 本 质 上 都 是 不 安 
全 的 ， 因 为 它们 在 网 络 上 用 明文 传送 口令 和 数据 ，Sniffer 〈 网 络 嗅 探 器 ) 非常 容易 就 可 以 
截获 这 些 口令 和 数据 。 对 于 Sniffer， 可 以 采用 会 话 加 密 的 方案 ， 把 所 有 传输 的 数据 进行 加 
密 ， 这 样 Sniffer 即使 噢 探 到 了 数据 ， 这 些 加 密 的 数据 也 是 难以 解密 还 原 的 。 目 前 广泛 应 用 
的 是 SSL (Secure Socket Layer)， 可 以 方便 安全 的 实现 加 密 数 据 包 传输 。 当 用 户 输入 口令 
时 应 该 使 用 支持 SSL 协议 的 方式 进行 登录 ， 如 HITPS、SFTP、SSH 而 不 是 HITP、FTP、 
POP、SMTP、TELNET 等 协议 ， 以 防止 Sniffer 的 监听 。SSL 的 安全 验证 可 以 在 不 安全 的 
网 络 中 进行 安全 的 通信 。 

6. 尽量 不 要 将 密码 保存 在 本 地 

将 密码 保存 在 本 地 是 一 个 不 好 的 习惯 ,很 多 应 用 软件 (如 某 些 FTP 等 ) 保存 的 密码 并 
没有 设计 得 非常 安全 ， 如 果 本 地 没有 一 个 很 好 的 加 密 策略 ， 那 将 为 黑客 破解 密码 大 开 方 便 
之 门 。 

7. 使 用 USB Key 

USB Key 是 一 种 USB 接口 的 硬件 设备 ， 它 内 置 单片机 或 智能 卡 芯 片 ， 有 一 定 的 存储 
空间 , 可 以 存储 用 户 的 私 钥 及 数字 证 书 , 利用 USB Key 内 置 的 公 钥 算法 实现 对 用 户 身份 的 
认证 。 由 于 用 户 私 钥 保存 在 密码 锁 中 ， 理 论 上 使 用 任何 方式 都 无 法 读 取 ， 因 此 保证 了 用 户 
认证 的 安全 性 。 

8. 个 人 密码 管理 

要 保持 严格 的 密码 管理 观念 ， 实 施 定期 更 换 密码 ， 可 每 月 或 每 季 更 换 一 次 。 永 远 不 要 
将 密码 写 在 纸 上 ， 不 要 使 用 容易 被 别人 猜 到 的 密码 。 对 一 些 比较 难 记 的 密码 要 做 存储 并 加 
密 ， 加 密 后 的 文件 即使 被 盗 ， 或 无 意 中 在 网 络 中 散布 ， 也 不 会 导致 重要 信息 泄露 出 去 。 


9. 密码 分 级 

对 于 不 同 的 网 络 系统 使 用 不 同 的 密码 ， 对 于 重要 的 系统 使 用 更 为 安全 的 密码 。 绝 对 不 
要 所 有 系统 使 用 同一 个 密码 。 对 于 那些 偶尔 登录 的 论坛 ， 可 以 设置 简单 的 密码 ;对 于 重要 
的 信息 、 电 子 邮 件 、 网 上 银行 之 类 ， 必 须 设 置 为 复杂 的 密码 。 永 远 也 不 要 把 论坛 、 电 子 邮 
箱 和 银行 账户 设置 成 同一 个 密码 。 

10. 生物 特征 识别 

生物 特征 识别 技术 是 指 通过 计算 机 ， 利 用 人 体 所 固有 的 生理 特征 或 行为 特征 来 进行 个 
人 身份 鉴定 。 常 用 的 生物 特征 包括 指纹 、 掌 纹 、 虹 膜 、 声 音 、 笔 迹 、 脸 像 等 。 生 物 特 征 识 
别 是 一 种 简单 可 靠 的 生物 密码 技术 ， 生 物 识别 技术 认定 的 是 人 本 身 ， 由 于 每 个 人 的 生物 特 
征 具 有 与 其 他 人 不 同 的 唯一 性 ， 以 及 在 一 定时 期 内 不 变 的 稳定 性 ， 不 易 被 伪造 和 假冒 ， 因 
此 可 以 最 大 限度 地 保证 个 人 资料 的 安全 。 目 前 人 体 特 征 识别 技术 市 场 上 占有 率 最 高 的 是 指 
纹 机 和 手 形 机 ， 这 两 种 识别 方式 也 是 目前 技术 发 展 中 最 成 熟 的 。 


1.8 网 络 安全 的 目标 
1.8.1 第 38 届 世 界 电信 日 主题 


第 38 界 世界 电信 日 主题 一 一 让 全 球 网 络 更 安全 (Promoting Global Cyber Security )。 

在 一 个 日 益 网 络 化 的 社会 ， 保 证 网 络 及 信息 通信 技术 系统 和 基础 设施 的 安全 已 成 为 当 
务 之 急 。 因 此 ， 必 须 树立 对 网 上 交易 、 电 子 商务 、 电 子 银行 、 远 程 医疗 、 电 子 政务 和 一 系 
列 其 他 应 用 的 信心 。 这 对 于 全 球 经 济 社会 的 未 来 发 展 至 关 重 要 。 

实现 网 络 安全 取决 于 每 个 互联 网 国家 、 企 业 和 公民 采取 的 安全 措施 。 为 防范 高 技能 的 
网 络 犯罪 分 子 ， 必 须 培 育 全 球 网 络 安全 文化 。 这 不 仅 需要 良好 的 监管 和 立法 ， 还 需要 敏 于 
察觉 威胁 ， 并 制定 出 基于 信息 通信 技术 的 严厉 对 策 。 


1.8.2 ”我 国 网 络 安全 的 战略 目标 


提升 网 络 普及 水 平 、 信 息 资 源 开发 利用 水 平和 信息 安全 保障 水 平 。 抓 住 网 络 技术 转型 
的 机 遇 ， 基 本 建成 国际 领先 、 多 网 融合 、 安 全 可 靠 的 综合 信息 基础 设施 。 信 息 安全 的 长 效 
机 制 基本 形成 ， 国 家 信息 安全 保障 体系 较为 完善 ， 信 息 安全 保障 能 力 显著 增强 。 这 就 是 我 
国 网 络 安全 的 战略 目标 ， 参 见 《2006 一 2020 年 国家 信息 化 发 展 战略 》。 


1.8.3 网络 安全 的 主要 目标 


通俗 地 说 ， 网 络 安 全 的 主要 目标 是 保护 网 络 信 息 系统 ， 使 其 没有 危险 ， 不 受 威胁 ， 不 
出 事故 。 在 这 里 用 5 个 通俗 的 说 法 来 形象 地 描绘 网 络 安全 的 目标 ， 如 图 1.5 所 示 。 

将 上 述说 法 归纳 总 结 为 以 下 4 个 方面 讨论 : 

1. 可 用 性 

可 用 性 指 信息 或 者 信息 系统 可 被 合法 用 户 访问 ， 并 按 其 要 求 运行 的 特性 。 

如 图 1.5 所 示 ,“ 进 不 来 ””“ 改 不 了 ”和 “ 拿 不 走 ” 都 实现 了 信息 系统 的 可 用 性 。 

人 们 通常 采用 一 些 技术 措施 或 网 络 安全 设备 来 实现 这 些 目 标 。 例 如 使 用 防火 墙 ， 把 攻 
击 者 阻挡 在 网 络 外 部 ， 让 它们 “ 进 不 来 ” 即使 攻击 者 进入 了 网 络 内 部 ， 由 于 有 加 密 机 制 ， 
会 使 他 们 “ 改 不 了 ”和 “ 拿 不 走 ” 关 键 信息 和 资源 。 


第 
1 
章 


克 经 颁 会 胡 送 


网 参 颁 会 与 合理 ( 谎 二 把 ) 


i 完整 性 不 可 抵赖 性 


图 1.5 网 络 安全 的 主要 目 人 的 主要 


2. 机 密 性 

机 密 性 将 对 敏感 数据 的 访问 权限 制 在 那些 经 授权 的 个 人 ， 只 有 他 们 才能 查看 数据 。 机 
密 性 可 防止 向 未 经 授权 的 个 人 泄露 信息 ， 或 防止 信息 被 加 工 。 

“ 进 不 来 ”和 “看 不 懂 ” 都 实现 了 信息 系统 的 机 密 性 。 

人 们 使 用 口令 对 进入 系统 的 用 户 进行 身份 鉴别 ， 非 法 用 户 没有 口令 就 “ 进 不 来 ” 这 
就 保证 了 信息 系统 的 机 密 性 。 即 使 攻击 者 破解 了 口令 而 进入 系统 ， 加 密 机 制 也 会 使 得 他 们 
“看 不 懂 ” 关 键 信息 。 例 如 ， 甲 给 乙 发 送 加 密 文件 ， 只 有 乙 通过 解密 才能 读 懂 其 内 容 ， 其 他 
人 看 到 的 是 乱码 。 由 此 便 实 现 了 信息 的 机 密 性 。 

3， 完整 性 

完整 性 指 防止 数据 未 经 授权 或 意外 改动 ， 包 括 数 据 插入 、 删 除 、 修 改 等 。 为 了 确保 数 
We www ww 
实数 据 没 有 被 改动 过 。 

如 图 1.5 所 示 ,“ 改 不 了 ”和 “ 拿 不 走 ” 都 实现 了 信息 系统 的 完整 性 。 

使 用 加 密 机 制 ， 可 以 保证 信息 系统 的 完整 性 ， 攻 击 者 无 法 对 加 密 信息 进行 修改 或 者 复 
ws 整 性 与 机 密 性 不 同 ， 机 密 性 要 求 信 息 不 被 泄露 给 未 授权 的 人 ， 而 完整 性 则 要 求 信息 

受到 各 种 原因 的 任意 破坏 。 

4. 不 可 抵赖 性 

不 可 抵赖 性 也 叫 不 可 否认 性 ， 即 防止 个 人 否认 先前 已 执行 的 动作 ， 其 目标 是 确保 数据 
的 接收 方 能 够 确信 发 送 方 的 身份 。 例 如 ， 接 收 者 不 能 和 否认 收 到 消息 ， 发 送 者 也 不 能 否认 发 
送 过 消息 。 如 图 1.5 所 示 ,“ 跑 不 掉 ” 就 实现 了 信息 系统 的 不 可 抵赖 性 。 如 果 攻 击 者 进行 了 
非法 操作 ， 系 统管 理 员 使 用 审计 机 制 或 签名 机 制 也 可 让 他 们 无 处 通 形 。 


课 后 习 题 


一 、 选 择 题 
1. 网 络 安全 不 包含 以 下 〈 5 


A. 网 络 设备 安全 B. 网 络 信息 安全 

C. 网 络 协议 安全 D. 网 络 软件 安全 
2. 下 列 关 于 用 户口 令 说 法 错误 的 是 ( 。 ”)。 

A. 口令 不 能 设置 为 空 

B. 口令 长 度 越 长 ， 安 全 性 越 高 

C. 复杂 口令 安全 性 足够 高 ， 不 需要 定期 修改 

D. 口令 认证 是 最 常见 的 认证 机 制 


3. 在 使 用 复杂 度 不 高 的 口令 时 ， 容 易 产 生 弱 口令 的 安全 脆弱 性 ， 被 攻击 者 利用 ， 从 


而 破解 用 户 账户 ， 下 列 ( 。””) 具有 最 好 的 口令 复杂 度 。 


)。 


A. morrison B. Wm. $*F2m5@ 
C. 27776394 D. wangjingl977 
4. 网 络 信息 未 经 授权 不 能 进行 改变 的 特性 是 〈 3 
A. 完整 性 B. 可 用 性 
C. 可 靠 性 D. 保密 性 
5. 确保 信息 在 存储 、 使 用 、 传 输 过 程 中 不 会 泄露 给 非 授 权 的 用 户 或 者 实体 的 特性 
是 和 
A. 完整 性 B. 可 用 性 
C. 可 靠 性 D. 保密 性 
6. 下 列 ( ) 不 属于 物理 安全 控制 措施 。 
A. 门 锁 B. 警卫 
C. 口令 D. 围墙 
7. 统计 数据 表明 ， 网 络 和 信息 系统 最 大 的 人 为 安全 威胁 来 自 于 ( 
A. 恶意 竞争 对 手 B. 内 部 人 员 
C. 互联 网 黑客 D; 第 三 方 信 员 
8. 在 需要 保护 的 信息 资产 中 ，( ) 是 最 重要 的 。 
A. 环境 B. 硬件 
C. 数据 D. 软件 
和 ) 手段 可 以 有 效应 对 较 大 范围 的 安全 事件 的 不 良 影 响 ， 保 证 关键 服务 和 数据 
的 可 用 性 。 
A. 定期 备份 B. 异地 备份 
C. 人 工 备 份 D. 本 地 备份 
10. 网 页 恶意 代码 通常 利用 〈  ”) 来 实现 植 入 并 进行 攻击 。 
A. 口令 攻击 B. UD 盘 工 具 
C. 正 浏 览 器 的 漏洞 D. 拒绝 服务 攻击 
11. 覆盖 地 理 范 围 最 大 的 网 络 是 (  )。 
A. 广域网 B. 城 域 网 
C. 无 线 网 D. 国际 互联 网 


12. 要 安全 浏览 网 页 ， 不 应 该 (  )。 
A. 定期 清理 浏览 器 缓存 和 上 网 历史 记录 


网 经 颁 会 瑶 送 


二 一 恰 


风疹 颁 会 与 合理 ( 谎 二 族 ) 


B. 禁止 使 用 ActiveX 控件 和 Java 脚本 
C. 定期 清理 浏览 器 Cookies 
D. 在 他 人 计算 机 上 使 用 “自动 登录 ”和 “ 记 住 密码 ”功能 
13. 系统 攻击 不 能 实现 (  )。 
A. 盗 走 硬盘 B. 口令 攻击 
C. 进入 他 人 计算 机 系统 D. 卫 欺骗 
14. 网 络 安全 最 终 是 一 个 折 中 的 方案 ， 即 安全 强度 和 安全 操作 代价 的 折 中 ， 除 了 增加 
安全 设施 投资 外 ， 还 应 考虑 ( )。 
A. 用 户 的 方便 性 B. 管理 的 复杂 性 


C. 对 现 有 系统 的 影响 及 对 不 同 平台 的 支持 ”D. 上 面 三 项 都 是 
15. 网 络 安全 的 基本 属性 是 (  )。 

A. 机 密 性 B. 可 用 性 

C. 完整 性 D. 上 面 三 项 都 是 


16. 从 攻击 方式 区 分 攻击 类 型 ， 可 分 为 被 动 攻 击 和 主动 攻击 。 被 动 攻击 难以 (  )， 
然而 ( ) 这 些 攻击 是 可 行 的， 主动 攻击 难以 (  ”), 然而 ( ) 这 些 攻击 是 可 行 的 。 
A. 阻止 ， 检测， 阻止 检测 B. 检测 ， 阻 止 ， 检测 ， 阻 止 
C. 检测 ， 阻 止 ， 阻 止 ， 检 测 D. 上 面 三 项 都 不 是 
17. 窃听 是 一 种 〈  ) 攻击 ， 攻 击 者 (  ) 将 自己 的 系统 插入 到 发 送 站 和 接收 站 之 
间 。 截 获 是 一 种 (  ) 攻击 ， 攻 击 者 ( ) 将 自己 的 系统 插入 到 发 送 站 和 接收 站 之 间 。 


A. 被 动 ， 无 须 ， 主 动 ， 必 须 B. 主动 必须， 被动， 无 须 
C. 主动 ， 无 须 ， 被 动 ， 必 须 D. 被 动 ， 必 须 ， 主 动 ， 无 须 
18. 拒绝 服务 攻击 的 后 果 是 ( 。 )。 
A. 信息 不 可 用 B. 应 用 程序 不 可 用 
C. 阻止 通信 D. 上 面 儿 项 都 是 


19. 攻击 者 用 传输 数据 来 冲击 网 络 接口 ， 使 服务 器 过 于 繁忙 以 至 于 不 能 应 答 请 求 的 攻 
击 方式 是 ( )。 


A. 拒绝 服务 攻击 B. 地 址 欺骗 攻击 
C. 会 话 动 持 D. 信号 包 探测 程序 攻击 


20. 攻击 者 截获 并 记录 了 从 A 到 B 的 数据 , 然后 又 从 早 些 时 候 所 截获 的 数据 中 提取 出 
信息 重新 发 往 B 称 为 ) 攻击 。 


A. 中 间 人 B. 口令 猜测 器 和 字典 
C. 强力 D. 回放 
21. 口令 破解 的 最 好 方法 是 (  ) 
A. 暴力 破解 B. 组 合 破解 
C. 字典 攻击 D. 生日 攻击 
22. 可 以 被 数据 完整 性 机 制 防止 的 攻击 方式 是 〈 
A. 假冒 B. 抵赖 
C. 窃取 D. 自 改 


23. 网 络 安全 的 特征 包含 保密 性 、 完 整 性 、( 。””) 4 个 方面 。 


A. 可 用 性 和 可 靠 性 B. 可 用 性 和 合法 性 
C. 可 用 性 和 有 效 性 D. 可 用 性 和 可 控 性 
24. 如 果 认 为 自己 已 经 落 入 网 络 钓鱼 的 圈套 ， 则 应 采取 的 措施 是 〈 
A. 向 电子 邮件 地 址 或 网 站 被 伪造 的 公司 报告 该 情形 
B. 更 改 账户 的 密码 
C. 立即 检查 财务 报表 
D. 以 上 全 部 都 是 
25. 下 面 技 术 中 不 能 防止 网 络 钓鱼 攻击 的 是 〈 5 
A. 在 主页 的 底部 设 有 一 个 明显 链接 ， 以 提醒 用 户 注意 有 关 电 子 邮 件 诈骗 的 问题 
B. 利用 数字 证 书 〈 如 USB KEY) 进行 登录 
C. 根据 互联 网 内 容 分 级 联盟 (ICRA) 提供 的 内 容 分 级 标准 对 网 站 内 容 进行 分 级 
D. 安装 杀毒 软件 和 防火 墙 ， 及 时 升级 ， 打 补丁 ， 加 强 员工 安全 意识 
26. 下 面 不 会 帮助 减少 收 到 的 垃圾 邮件 数量 的 是 〈 » 
A. 使 用 垃圾 邮件 筛选 器 帮助 阻止 垃圾 邮件 
B. 共享 电子 邮件 地 址 或 即时 消息 地 址 时 应 小 心 谨慎 
C， 安装 VPN 系统 
D. 收 到 垃圾 邮件 后 向 有 关 部 门 举报 


二 、 填 空 题 

| 是 第 一 大 上 网 终端 设备 。 

2. 网 络 安全 是 指 网 络 系统 的 硬件 、 软 件 及 其 系统 中 的 数据 受到 ， 不 因 偶 然 
的 或 者 恶意 的 原因 而 遭受 到 破坏 、 5 ， 系 统 连 续 可 靠 正 常 地 运行 ， 网 络 
服务 不 中 断 。 


3 网络 安 全 包含 网 络 设备 安全 、_ 、 
4. 网 络 互 联 设备 的 安全 控制 中 对 整个 了 网 内 的 所 有 主机 的 传输 信息 和 运行 状态 进行 
安全 监测 和 控制 ， 主 要 通过 或 实现。 
5. 电子 商务 安全 从 整体 上 可 分 为 和 两 大 部 分 。 
6， 非 破坏 性 攻击 通常 是 为 了 扰乱 系统 的 运行 ， 并 不 是 盗窃 系统 资料 ， 攻 击 手段 包 
括 _ 和 
7. 黑客 非法 获取 支付 结算 、 证 券 交 易 、 期 货 交易 等 网 络 金融 服务 的 账号 、 口 令 、 密 
码 等 信息 10 组 以 上 ， 可 处 年 以 下 有 期 徒刑 等 刑罚 ;获取 上 述 信息 50 组 以 上 的 ， 
处 3 年 以 上 年 以 下 有 期 徒刑 。 
8. 网 络 攻击 可 被 分 为 和 两 类 。 
三 、 简 答题 
. 互联 网 的 优点 有 哪些 ? 
.网 络 安全 涉及 哪些 学 科 ? 
. 网络 安全 的 重要 性 都 体现 在 哪些 方面 ? 
. 网络 安 全 有 哪些 种 类 ? 
.电子 商务 安全 中 的 计算 机 网 络 安全 存在 哪些 主要 问题 内 容 ? 
. 电子 商务 安全 中 的 计算 机 商务 交易 安全 存在 哪些 主要 问题 内 容 ? 
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7. 黑客 的 行为 主要 有 哪儿 种 ? 

8. 网 络 的 主动 攻击 包括 哪些 形式 ? 

9. 常见 网 络 攻击 包括 哪些 形式 ? 

10. 为 什么 说 我 国 的 网 络 安全 现状 极为 脆弱 ? 
11. Cookie 运用 于 哪 几 个 方面 ? 

12. 个 人 数据 信息 面临 哪些 网 络 威胁 ? 

13. 常用 网 络 安全 技术 有 哪些 ? 

14. 常用 网 络 密码 安全 保护 技巧 有 哪些 ? 
15. 我 国 网 络 安全 的 战略 目标 是 什么 ? 

16. 网 络 安全 的 目标 可 归纳 为 哪 4 个 方面 ? 


第 2 章 网 络 监控 原理 


2.1 网 络 监控 介绍 


计算 机 网 络 的 普及 应 用 已 渗透 到 社会 各 个 层面 ， 网 络 给 各 行 各 业 带 来 便利 的 同时 也 带 
来 了 安全 和 管理 问题 。 互 联网 络 是 一 把 双 刃 剑 ， 有 了 网 络 ， 企 业 员 工 在 实现 网 络 办 公 的 同 
时 ， 通 过 网 络 从 事 一 些 业务 范围 之 外 的 活动 ， 如 在 工作 时 间 利 用 网 络 看 新 闻 、 玩 游戏 、 干 
私 活 、 聊 天 、 汇 密 公 司 资料 、 炒 股票 、 下 载 电 影 、 在 线 听 歌 曲 ， 甚 至 利用 公司 的 网 络 为 自 
己 找 工作 等 。 这 些 网 络 活动 ， 消 耗 了 公司 的 资源 ， 影 响 工作 效率 、 泄 露 企业 机 密 ， 甚 至 因 
此 丢失 了 客户 资源 。 利 用 局 域 网 网 络 监控 软件 对 非法 网 络 行为 实行 监控 ， 并 结合 企业 的 内 
部 管理 机 制 对 企业 信息 进行 管理 可 以 有 效 地 预防 和 避免 上 述 事件 的 发 生 ， 能 够 达到 事 半 功 
倍 的 效果 ， 这 一 方法 已 经 为 大 家 所 认 知 。 


2.1.1 为 什么 要 使 用 网 络 监控 


很 多 单位 对 网 络 及 计算 机 设备 的 投入 很 大 ， 但 却 不 对 应 用 软件 特别 是 安全 软件 的 投 
入 ， 组 建 了 性 能 出 色 的 网 络 环境 及 购买 了 现代 化 的 办 公设 备 ， 这 些 高 端 设备 却 成 了 浪费 公 
司 人 力 和 财力 ， 甚 至 是 纵容 员工 上 班 时 间 做 工作 之 外 的 事情 的 “帮凶 ”不 仅 降低 了 工作 效 
率 ， 甚 至 会 造成 更 大 的 损失 。 设 置 网 络 监控 管理 ， 防 患 于 未 然 ， 尤 为 重要 。 

目前 很 多 企业 配备 了 专门 的 网 络 管理 人 员 管 理 企业 所 构建 的 网 站 ， 虽 然 管 好 了 设备 ， 
但 设备 所 带 来 的 方便 却 降 低 了 企业 员工 的 工作 效率 〈 都 用 网 络 干 别 的 事情 去 了 ) 加 大 了 商 
业 信 息 泄露 的 风险 《因为 缺乏 管理 ， 客 户 资料 很 可 能 被 自己 人 传送 给 竞争 对 手 ， 成 为 对 方 
的 资源 )。 因 此 企业 内 部 网 络 的 管理 , 仅仅 靠 购买 设备 是 不 够 的 , 仅仅 建设 网 站 也 是 不 够 的 ， 
只 管理 网 络 设备 是 不 够 的 ， 还 需要 把 员工 使 用 网 络 的 内 容 做 监控 ， 把 使 用 网 络 的 行为 管理 
起 来 。 尤 其 是 外 贸 企 业 、 技 术 研 发 类 企业 〈 如 软件 开发 、 机 械 工程 )、 政 府 机 关 、 银 行 、 医 
院 、 部 队 等 关键 任务 机 构 ， 对 员工 的 上 网 监督 管理 必 不 可 少 。 


2.1.2 网络 监控 的 主要 目标 


网 络 监控 系统 总 体 目标 是 能 有 效 防止 员工 通过 网 络 以 各 种 方式 泄密 ， 防 止 并 追查 重要 
资料 、 机 密 文 件 的 外 泄 渠 道 ,实现 对 网 络 计算 机 及 网 络 资源 的 统一 管理 和 有 效 监 控 。 监督 、 
审查 、 限 制 、 规 范 网 络 使 用 行为 ， 未 经 授权 不 得 以 任何 方式 外 发 文件 ， 不 得 在 上 班 时 间 利 
用 网 络 做 不 应 该 做 的 事 〈 如 聊天 、 游 戏 、 外 发 资料 、BT 恶性 下 载 、 买 卖 股 票 等 )， 能 够 记 
录 网 络 往 来 的 内 容 ( 如 外 贸 企 业 的 订单 过 程 、QQ/MSN 聊天 记录 内 容 和 行为 过 程 )， 对 计 
算 机 的 各 种 端口 和 设备 实施 全 面 管理 和 控制 ， 对 使 用 计算 机 、 上 网 、 收 发 邮件 、 网 上 聊天 
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和 计算 机 游戏 进行 严格 管理 ， 能 够 进行 流量 限制 及 网 站 访问 统计 ， 分 析 员工 使 用 网 络 的 情 
况 等 。 


2.1.3 ”网络 监控 的 分 类 


网 络 监 控 是 针对 局 域 网 内 的 计算 机 进行 监视 和 控制 ， 针 对 内 部 的 计算 机 在 互联 网 上 的 
活动 (上 网 监控 ) 及 非 上 网 相关 的 内 部 行为 与 资产 等 过 程 管理 (内 网 监控 )。 随 着 互联 网 的 
飞速 发 展 ， 互 联网 的 使 用 越 来 越 普遍 ， 网 络 和 互联 网 不 仅 成 为 企业 内 部 的 沟通 桥梁 ， 也 是 
企业 和 外 部 进行 各 类 业务 往来 的 重要 管道 。 网 络 监控 产品 主要 分 为 监控 硬件 与 监控 软件 两 种 。 
网 络 监 控 硬件 其 实 是 软 硬 件 结合 的 产品 ， 主 要 在 主机 或 服务 器 上 部 署 软件 ， 在 路 由 上 
部 署 硬件 ， 无 须 再 在 其 他 被 控 计 算 机 中 安装 部 署 。 硬 件 的 功能 是 固定 的 ， 它 在 功能 的 扩展 
方面 有 其 自身 的 局 限 性 ， 在 新 的 需求 不 断 增加 时 ， 就 很 可 能 要 通过 设备 的 更 换 才 能 满足 企 
业 持 续 管 理 的 需求 。 硬 件 的 购买 成 本 都 比 软件 高 。 有 的 监控 硬件 设备 还 要 配套 的 周边 硬件 
支持 ， 需 要 加 大 硬件 的 前 期 投资 预算 。 就 资金 这 一 点 ， 软 件 的 优势 非常 明显 : 一 套 软件 ， 
最 多 再 加 一 张 网 卡 、 两 条 网 线 ， 就 可 以 实现 有 效 的 网 络 监控 管理 了 。 维 护 方面 ， 硬 件 无 论 
是 从 前 期 产品 的 试用 ， 还 是 后 期 产品 的 维护 方面 ， 都 相对 专业 且 维 护 成 本 较 高 。 监 控 硬 件 
设备 一 旦 出 现 较 大 或 无 法 确认 的 问题 ， 维 护 人 员 无 法 擅自 维护 ， 只 能 送 往 厂 家 维修 或 通知 
厂家 人 员 上 门 维 修 , 进一步 增 大 了 维护 成 本 开销 (不论 是 服务 费用 还 是 运输 费用 ), 最 重要 
的 是 耽误 时 间 、 影 响 了 工作 的 进度 。 软 件 就 不 存在 这 个 问题 。 它 可 以 无 条 件 的 前 期 试用 ， 
在 购买 后 可 以 不 断 地 升级 ， 功 能 、 稳 定性 都 会 越 来 越 强大 ， 越 来 越 完 善 。 而 且 目前 大 多 数 
软件 都 有 免费 升级 年 限 ， 即 使 超过 免费 升级 年 限 ， 升 级 费用 和 硬件 的 维护 费用 比较 起 来 也 
是 很 低 的 。 技 术 难 度 方面 ， 硬 件 需 要 专门 的 管理 人 员 去 维护 ， 而 软件 的 操作 都 是 非常 人 性 
化 的 ， 不 管 是 网 络 管理 人 员 ， 还 是 公司 高 层 管理 人 员 ， 可 以 说 只 要 能 够 使 用 计算 机 ， 就 能 
人 够 操作 网 络 监控 软件 ， 软 件 上 手 更 加 容易 ， 方 便 管理 人 员 直 接管 理 查看 。 综 上 所 述 ， 软 件 
更 加 适合 对 网 络 监管 一 般 性 需求 的 单位 进行 配置 。 下 面 重点 介绍 网 络 监控 软件 的 内 容 。 

网 络 监控 软件 按照 运行 原理 可 分 为 监听 模式 和 网 关 模式 两 种 。 

1. 监听 模式 

通过 抓 取 总 线 MAC 层 数据 帧 方式 获得 监听 数据 ， 并 利用 网 络 通信 协议 原理 实现 控制 
的 方法 。 采 用 如 下 方法 之 一 来 解决 安装 问题 : 

(1) 通过 共享 式 网 络 。 

共享 式 网 络 结构 简单 ， 主 要 的 设计 思想 就 是 将 网 络 中心 设 备 设置 成 Hub (集线器)， 这 
样 形成 的 网 络 就 成 为 共享 式 网 络 。 其 中 ， 中 心 设备 集线器 工作 模式 是 共享 模式 ， 并 且 是 工 
作 在 OSI 的 物理 层面 上 。 一 旦 网 络 设计 成 共享 式 网 络 ， 即 局 域 网 的 交换 中 心 设备 是 用 集 线 
器 来 实现 的 ， 就 可 以 在 该 网 络 的 任何 一 台 计 算 机 上 安装 相关 的 网 络 协 议 分 析 软 件 。 在 这 种 
环境 下 ， 该 分 析 软 件 能 够 捕获 到 整个 网 络 中 所 有 节点 之 间 的 通信 数据 包 。 这 个 模式 是 一 个 
比较 通用 的 方法 ， 但 由 于 Hub 基本 都 是 10M 的 ， 因 此 在 网 络 性 能 上 将 受到 很 大 限制 ， 也 
意味 着 丢 包 的 危险 。Hub 不 适合 大 型 网 络 环境 ， 有 很 大 局 限 ， 目 前 已 经 基本 被 淘汰 。 共 享 
式 网 络 的 网 络 安装 结构 图 如 图 2.1 所 示 。 

(2) 通过 拥有 镜像 备份 功能 的 交换 式 网 络 。 

交换 式 网 络 是 指 将 网 络 的 交换 中 心 设备 设置 成 交换 机 〈 即 Switch)， 这 样 的 网 络 就 叫 


交换 式 网 络 。 在 交换 式 网 络 中 ， 中 心 设备 即 交 换 机 是 在 OSI 模型 的 链接 数据 层 工 作 的 ， 中 
心 设备 的 各 端口 两 两 之 间 可 以 高 效 地 分 离 冲 突 域 ， 所 以 通过 交换 机 相互 连接 的 网 络 能 够 将 
整个 大 的 网 络 分 离 成 许多 小 的 网 络 子 域 。 在 拥有 镜像 备份 功能 的 交换 式 网 络 中 ， 由 于 网 络 
的 中 心 设备 具有 镜像 功能 ， 如 果 在 交换 机 中 心 设备 上 设置 好 相应 的 镜像 端口 ， 然 后 在 与 镜 
像 端 口 相连 接 的 主机 上 面 安装 网 络 协议 分 析 ， 就 能 够 抓 取 到 整个 交换 式 网 络 中 的 全 部 数据 
通信 报 。 交 换 式 网 络 的 网 络 安装 结构 图 如 图 2.2 所 示 。 
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(3) 通过 拥有 镜像 功能 的 相互 交换 式 网 络 。 

在 实际 中 ， 考 虑 到 成 本 或 者 技术 上 的 原因 ， 许 多 交换 机 设计 和 制造 都 很 简单 ， 它 们 并 
不 拥有 镜像 备份 的 功能 ， 于 是 对 于 这 类 交换 机 ， 在 实际 中 就 不 可 能 利用 端口 镜像 来 对 网 络 
进行 监控 和 分 析 。 此 时 ， 可 以 采取 其 他 方法 来 实现 。 为 了 实现 对 网 络 数据 的 抓 取 ， 考 虑 在 
路 由 器 或 者 网 络 防火 墙 与 交换 机 之 问 连 接 一 个 集线器 或 分 路 器 ， 连 接 方式 为 串联 ， 这 种 网 
络 就 叫 相互 交换 式 网 络 。 相 互 交 换 式 网 络 的 网 络 安装 结构 图 如 图 2.3 所 示 。 
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从 上 面 文字 的 描述 中 看 到 ， 其 实 所 有 监听 模式 的 解决 方法 都 是 不 太 可 靠 的 ， 监 听 模 式 
下 只 能 对 网 络 数 据 进 行 监视 和 记录 ， 对 网 络 数 据 无 法 进行 访问 控制 和 限制 ， 而 目前 所 有 使 
用 WinPcap 驱动 的 网 络 监控 软件 及 使 用 网 络 层 驱 动 的 软件 都 是 监听 模式 。 如 果 要 求 使 用 前 
面 的 三 个 安装 方法 之 一 就 肯定 是 监听 模式 软件 。 因 此 ， 真 正 商业 运行 的 话 强烈 建议 使 用 网 

WinPcap 是 用 于 网 络 封 包 抓 取 的 一 套 工具 ， 可 适用 于 32/64 位 的 操作 平台 上 解析 网 络 
封包 ， 包 含 了 核心 的 封包 过 滤 ， 一 个 底层 动态 链接 库 和 一 个 高 层 系统 函数 库 ， 以 及 可 用 来 
直接 存 取 封包 的 应 用 程序 界面 。WinPcap 是 一 个 免费 公开 的 软件 系统 ， 用 于 Windows 系统 
下 直接 的 网 络 编程 。WinPcap 的 作用 主要 是 捕获 最 初始 的 数据 包 ， 无 论 这 个 数据 包 是 发 往 
本 节点 ， 还 是 跟 其 他 节点 之 间 的 数据 交换 包 、 向 网 络 发 送 初始 的 网 络 数据 包 、 对 网 络 数据 
流量 信息 做 统计 等 。 很 多 不 同 的 工具 软件 都 把 WinPcap 用 于 网 络 分 析 、 故 障 排除 、 网 络 安 
全 监控 等 方面 。 

2. 网关 模 式 
由 于 所 有 出 口 数据 流 都 必须 经 过 该 网 关 ， 因 此 控制 方面 可 以 说 是 最 强大 完美 而 无 任何 
副作用 的 方式 ,网关 模 式 克服 了 目前 所 有 采用 WinPcap 模式 或 网 络 层 驱动 模式 下 的 所 有 弱 
点 ， 克 服 了 所 有 监听 模式 下 阻 断 UDP 的 致命 弱点 ， 是 网 络 监控 最 理想 的 模式 。 

代理 /网 关 服 务 器 就 是 在 服务 器 上 通过 Windows 连接 共享 设置 ， 其 他 计算 机 通过 这 个 
代理 /网 关 服 务 器 分 享 上 网 。 一 般 都 是 双 网 卡 模式 : 一 个 网 卡 连接 外 网 ; 另外 一 个 网 卡 连接 
内 网 。 通 常 只 需要 在 代理 服务 器 上 直接 安装 网 络 分 析 软 件 就 可 以 实现 了 ， 但 现在 大 部 分 的 
网 络 已 经 不 再 使 用 这 个 模式 ， 直 接 通过 路 由 的 NAT 上 网 共享 模式 。 代 理 / 网 关 服务 器 的 网 
络 安装 结构 图 如 图 2.4 所 示 。 


网 关 模 式 按照 管理 目标 区 分 为 内 网 监控 和 外 网 监 
控 两 种 。 

(1) 内 网 监控 (内 网 行为 管理 、 屏 幕 监视 、 软 硬 
件 资产 管理 、 数 据 安全 )。 内 网 监控 包含 如 下 基本 功能 : 
作风 安装 协议 分 析 软件 ”内 网 监控 、 屏 幕 监视 和 录像 、 软 硬件 资产 管理 、 光 驱 
和 USB 等 硬件 禁止 、 应 用 软件 限制 、 打 印 监控 、ARP 
防火 墙 、 消 息 发 布 、 日 志 报警 、 远 程 文件 自动 备份 功 
普通 交换 机 能 、 禁 止 修改 本 地 连接 属性 、 禁 止 聊 天 工具 传输 文件 、 
通过 网 页 发 送 文件 监视 、 远 程 文件 资源 管理 、 支 持 远 
程 关 机 注销 等 支持 MSN/MSN Shell/ 新 浪 UC/ICQ/AOL/ 
Skype/E 话 通 /雅虎 通 / 贸 易 通 /Google Talk/ 淘 宝 旺旺 / 飞 
信 /UU CalWTM/QQ 聊天 记录 等 。 数 据 安 全 部 分 一 般 为 
单独 的 透明 加 密 软件 。 

(2) 外 网 监控 (上 网 行为 管理 、 网 络 行为 审计 、 
内 容 监视 、 上 网 行为 控制 )。 外 网 监控 应 包含 如 下 基本 功能 : 上 网 监控 、 网 页 浏览 监控 、 邮 
件 监控 、Webmail 发 送 监视 、 聊 天 监控 、BT 禁止 、 流 量 监视 、 上 下 行 分 离 流量 带宽 限制 、 
并 发 连接 数 限 制 、FTP 命令 监视 、Telnet 命令 监视 、 网 络 行为 审计 、 操 作 员 审计 、 软 网 关 
功能 、 端 口 映 射 和 PPPoE 拨号 支持 、 通 过 Web 方式 发 送 文件 的 监视 、 通 过 IM 聊天 工具 发 


服务 器 工作 主机 
图 2.4 代理 服务 器 共享 上 网 


送 文件 的 监视 和 控制 等 。 

无 论 是 硬件 还 是 软件 方式 的 解决 方法 ， 都 应 包含 内 网 监控 和 外 网 监控 产品 ， 通 过 合 
的 投资 组 合 获得 不 断 升 级 更 新 对 资源 和 行为 的 管理 。 硬 件 在 性 能 上 相 比 软件 来 说 较为 具有 
优势 ， 但 在 拓展 性 、 升 级 更 新 、 投 资 成 本 上 却 会 造成 很 大 的 麻烦 。 


2.2 Sniffer 工具 


2.2.1 Sniffer 介绍 


Sniffer 是 利用 计算 机 的 网 络 接口 截获 目的 地 为 其 他 计算 机 的 数据 报 文 的 一 种 工具 。 简 
单 地 说 ，Sniffer 就 是 一 个 网 络 上 的 抓 包工 具 ， 同 时 还 可 以 对 抓 到 的 包 进 行 分 析 。 

Sniffer 既 可 以 是 硬件 , 也 可 以 是 软件 。 软件 Sniffer 易于 学 习 和 使 用 , 价格 也 比较 便宜 ， 
但 是 往往 无 法 抓 取 网 络 上 所 有 的 传输 (如 碎片 ), 某 些 情况 下 也 就 可 能 无 法 真正 了 解 网 络 的 
故障 和 运行 情况 ;硬件 的 Sniffer 通常 称 为 协议 分 析 仪 ， 可 以 获取 网 络 上 所 有 的 数据 ， 因 此 
对 网 络 状况 的 分 析 更 为 准确 ， 但 是 价格 昂贵 。 目 前 主要 使 用 的 是 软件 。 

以 太 网 Sniffer 是 指 对 以 太 网 设备 上 传送 的 数据 包 进 行 侦 听 ， 发 现 感 兴趣 的 包 。 如 果 发 
现 符合 条 件 的 包 , 就 把 它 存 到 一 个 log 的 文件 中 去 。 通 常设 置 的 这 些 条 件 是 包含 字 usemame 
或 password 的 包 ， 它 的 目的 是 将 网 络 层 放 到 “混杂 ”模式 。“ 混 杂 ” 模 式 是 指 网 络 上 的 设 
备 对 总 线 上 传送 的 所 有 数据 进行 侦 听 ， 并 不 仅仅 是 它们 自己 的 数据 。Sniffer 通常 运行 在 路 
由 器 ， 或 有 路 由 器 功能 的 主机 上 ， 这 样 就 能 对 大 量 的 数据 进行 监控 。 


2.2.2 Sniffer 原理 


Sniffer 用 英文 翻译 的 意思 为 “ 嗅 探 器 ” 而 Sniffer 也 可 以 比喻 为 卧底 。 它 就 像 进入 敌 
人 内 部 的 卧底 一 样 ， 不 断 地 将 敌 方 的 情报 送出 来 。Sniffer 一 般 运行 在 路 由 器 或 有 路 由 器 功 
能 的 主机 上 ,这样 就 可 以 达到 监控 大 量 数据 的 目的 。 它 的 运行 平台 也 比较 多 ， 如 Windows、 
Linux、LanPatrol、LanWatch、Netmon 等 。Sniffer 属于 数据 链 路 层 的 攻击 ， 一 般 是 攻击 者 
进入 目标 系统 , 然后 利用 Sniffer 来 得 到 更 多 的 信息 (如 用 户 名 、 口 令 、 银 行 账户 、 密 码 等 )， 
它 几乎 能 得 到 以 太 网 上 传送 的 任何 数据 包 。 通 常 Sniffer 程序 只 需要 看 到 一 个 数据 包 的 前 
200 一 350 个 字 节 的 数据 就 可 以 得 到 用 户 名 和 密码 等 信息 。 由 此 可 见 ， 这 种 攻击 手段 是 非常 
危险 的 。 

通常 在 同一 个 网 段 的 所 有 网 络 接口 都 有 访问 在 物理 媒体 上 传输 的 所 有 数据 的 能 力 ， 而 
每 个 网 络 接口 都 还 应 该 有 一 个 硬件 MAC 地 址 ， 该 硬件 MAC 地 址 不 同 于 网 络 中 存在 的 其 
他 网 络 接口 的 硬件 MAC 地 址 ， 同 时 每 个 网 络 至 少 还 要 一 个 广播 地 址 (代表 所 有 的 接口 地 
址 )。 在 正常 情况 下 ,一 个 合法 的 网 络 接口 应 该 只 响应 这 样 的 两 种 数据 帧 : 帧 的 目标 区 域 具 
有 和 本 地 网 络 接口 相 匹配 的 硬件 MAC 地 址 或 帧 的 目标 区 域 具有 “广播 地 址 ”。 在 收 到 上 面 
两 种 情况 的 数据 包 时 网 络 接口 通过 CPU 产生 一 个 硬件 中 断 ， 该 中 断 能 引起 操作 系统 注意 ， 
然后 将 帧 中 所 包含 的 数据 传送 给 系统 进一步 处 理 。 而 Sniffer 就 是 一 种 能 将 本 地 网 络 接口 状 
态 设 成 “混杂 ”状态 的 软件 ， 当 网 络 接口 处 于 这 种 “混杂 ”方式 时 ， 该 网 络 接口 具备 “ 广 
播 地 址 ” 它 对 所 有 遭遇 到 的 每 一 个 帧 都 产生 一 个 硬件 中 断 ， 以 便 提 醒 操 作 系统 处 理 流 经 该 
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物理 媒体 上 的 每 一 个 报 文 包 〈 绝 大 多 数 的 网 络 接口 具备 置 成 “混杂 ”方式 的 能 力 )。 

可 见 ，Sniffer 工作 在 网 络 环境 中 的 底层 ， 它 会 拦截 所 有 正在 网 络 上 传送 的 数据 ， 并 且 
通过 相应 的 软件 处 理 ， 可 以 实时 分 析 这 些 数据 的 内 容 ， 进 而 分 析 所 处 的 网 络 状态 和 整体 布 
局 。 需 要 注意 的 是 ，Sniffer 是 极其 安静 的 ， 它 是 一 种 被 动 的 安全 攻击 。 


2.2.3 Sniffer 的 工作 环境 


Sniffer 就 是 能 够 捕获 网 络 报 文 的 设备 。Sniffer 的 正当 用 处 在 于 分 析 网 络 的 流量 ， 以 便 
找 出 所 关心 的 网 络 中 潜在 的 问题 。 例 如 ， 假 设 网 络 的 某 一 段 运行 有 问题 ， 报 文 的 发 送 比 较 
慢 ， 而 又 不 知道 问题 出 在 什么 地 方 ， 此 时 就 可 以 用 Sniffer 来 做 出 精确 的 问题 判断 。Sniffer 
在 功能 和 设计 方面 有 很 多 不 同 。 有 些 只 能 分 析 一 种 协议 ， 而 另 一 些 可 能 能 够 分 析 儿 百 种 协 
议 。 一 般 情况 下 ， 大 多 数 的 Sniffer 至 少 能 够 分 析 TCP/IP 和 IPX 协议 。Sniffer 与 一 般 的 键 
盘 捕 获 程序 不 同 ， 键 盘 捕获 程序 捕获 在 终端 上 输入 的 键 值 ， 而 Sniffer 则 捕获 真实 的 网 络 报 
文 。Sniffer 通过 将 其 置身 于 网 络 接口 来 达到 这 个 目的 。 

数据 在 网 络 上 是 以 很 小 的 被 称 为 帧 Frame) 的 单位 传输 的 。 帧 由 好 几 个 部 分 组 成 ， 
不 同 的 部 分 执行 不 同 的 功能 。 帧 通过 特定 的 称 为 网 络 驱 动 程序 的 软件 进行 成 型 ， 然 后 通过 
网 卡 发 送 到 网 线 上 。 通 过 网 线 到 达 它 们 的 目的 机 器 ， 在 目的 机 器 的 一 端 执行 相反 的 过 程 。 
接收 端 机 器 的 以 太 网 卡 捕获 到 这 些 帧 ， 并 告诉 操作 系统 帧 的 到 达 ， 然 后 对 其 进行 存储 。 就 
是 在 这 个 传输 和 接收 的 过 程 中 ，Sniffer 会 造成 安全 方面 的 问题 。 每 一 个 在 LAN 上 的 工作 
站 都 有 其 硬件 地 址 ， 这 些 地 址 唯一 地 表示 着 网 络 上 的 机 器 。 当 用 户 发 送 一 个 报 文 时 ， 这 些 
报 文 就 会 发 送 到 LAN 上 所 有 可 用 的 机 器 。 在 一 般 情况 下 ， 网 络 上 所 有 的 机 器 都 可 以 “ 听 ” 
到 通过 的 流量 , 但 对 不 属于 自己 的 报 文 则 不 予 响 应 。 如 果 某 工作 站 的 网 络 接口 处 于 “混杂 ” 
模式 ， 那 么 它 就 可 以 捕获 网 络 上 所 有 的 报 文 和 帧 。 如 果 一 个 工作 站 被 配置 成 这 样 的 方式 ， 
它 就 是 一 个 Sniffer。Sniffer 可 能 造成 的 危害 : 

(1) 能 够 捕获 口令 。 

(2) 能 够 捕获 专用 的 或 机 密 的 信息 。 

(3) 可 以 用 来 危害 网 络 邻居 的 安全 ， 或 者 用 来 获取 更 高 级 别 的 访问 权限 。 

事实 上 ， 如 果 在 网 络 上 存在 非 授权 的 Sniffer 就 意味 着 自己 的 系统 已 经 暴露 在 别人 面 
前 了 。 


2.2.4 Sniffer 攻击 


Sniffer 攻击 属于 一 种 被 动 攻击 ， 它 通过 拦截 网 络 上 正在 传送 的 数据 获取 有 用 信息 ， 通 
常 是 欺骗 或 攻击 行为 的 开始 。 

1. 捕获 口令 

如 果 网 络 上 传输 的 数据 使 用 的 是 明文 传输 ，Sniffer 可 以 记录 明文 数据 中 的 信息 ， 包 括 
用 户 名 和 密码 。 一 个 位 置 好 的 Sniffer 可 以 捕获 成 千 上 万 个 口令 。 

2. 窃取 专用 的 或 机 密 的 信息 

通过 在 网 络 上 安装 Sniffer 可 以 窃取 到 一 些 敏感 数据 ， 如 金融 账号 。 许 多 用 户 很 放心 在 
网 上 使 用 自己 的 信用 卡 或 现金 账号 ， 然 而 Sniffer 可 以 很 轻松 地 截获 在 网 上 传送 的 用 户 姓 
名 、 口 令 、 信 用 卡号 码 、 截 止 日 期 、 账 号 等 资料 。 通 过 拦截 数据 帧 ， 入 侵 者 可 以 利用 Sniffer 


方便 地 记录 用 户 之 间 的 敏感 信息 传送 ， 甚 至 拦截 整个 会 话 过 程 。 

3. 获取 底层 协议 信息 

Sniffer 可 以 记录 下 底层 的 协议 信息 ， 如 两 台 通信 主机 之 间 的 网 络 接 口 地 址 、 远 程 网 络 
接口 他 地 址 、IP 路 由 信息 和 TCP 连接 的 序列 号 等 。 这 些 信息 被 非法 入 侵 者 掌握 后 会 对 网 
络 安 全 构成 极 大 的 危害 。 

4. 交换 环境 中 的 Sniffer 攻击 

现代 网 络 中 常常 采用 交换 机 作为 网 络 连接 设备 ， 每 个 端口 所 连接 设备 的 MAC 地 址 及 
相应 端口 的 映射 被 保存 到 交换 机 缓存 的 MAC 地 址 表 中 。 当 一 个 数据 帧 的 目的 地 址 在 MAC 
地 址 表 中 有 了 映射 时 ， 它 会 被 转发 到 连接 目的 节点 的 端口 而 不 是 所 有 端口 (如 果 该 数据 帧 为 
广播 帧 则 转发 至 所 有 端口 )。 因 此 , 通过 交换 机 连接 的 所 有 网 络 节点 只 能 收 到 目的 地 址 是 本 
机 地 址 和 广播 地 址 的 数据 帧 。 但 是 ， 在 交换 环境 中 ， 进 行 Sniffer 攻击 不 是 完全 不 可 能 的 ， 
只 要 让 安装 了 Sniffer 的 计算 机 能 够 收 到 网 络 上 所 有 的 数据 帧 就 可 以 了 。 一 个 简单 的 方法 就 
是 伪装 成 网 关 。 

网 关 是 一 个 网 络 连接 到 另 一 个 网 络 的 “关口 ” 所 有 其 他 网 络 上 的 数据 帧 都 必须 由 网 
关 转 发 出 去 。 同 样 ， 网 络 中 所 有 发 往 其 他 网 络 的 数据 帧 也 都 必须 由 网 关 转 发 。 如 果 网 络 中 
的 所 有 计算 机 都 把 安装 了 Sniffer 的 计算 机 当成 网 关 ， 那 么 Sniffer 同样 能 嗅 探 到 网 络 中 的 
数据 。 在 局 域 网 中 ， 数 据 通 信 是 按照 MAC 地 址 进行 传输 的 ，ARP 协议 在 收 到 应 答 数据 帧 
时 会 对 本 地 的 ARP 缓存 进行 更 新 ， 将 应 答 中 的 瑟 和 MAC 地 址 存储 在 ARP 缓存 中 。ARP 
欺骗 就 是 利用 ARP 协议 的 这 个 特性 ， 给 网 络 上 其 他 计算 机 发 送 伪造 的 ARP 应 答 ， 将 安装 
了 Sniffer 的 计算 机 伪造 成 网 关 ， 使 得 网 络 上 的 其 他 计算 机 把 它 当 作 网 关 ， 这 样 所 有 的 传输 
数据 都 经 由 它 中 转 一 次 ， 从 而 达到 窃取 通信 数据 的 目的 。 


2.2.5 ”如 何 防 御 Sniffer 攻击 


1. 合理 的 规划 网 络 

从 工作 原理 可 以 知道 ，Sniffer 只 能 在 当前 网 段 进行 数据 捕获 。 因 此 ， 网 络 分 段 工 作 得 
越 细 ，Sniffer 能 够 收集 到 的 信息 就 越 少 。 合 理 地 利用 交换 机 、 路 由 器 、 网 桥 等 设备 对 网 络 
进行 分 段 ， 可 以 减少 Sniffer 的 危害 。 

2. 使 用 检测 工具 

使 用 检测 工具 可 以 检测 系统 是 否 被 入 侵 。Tripwire 是 UNIX 下 文件 系统 完整 性 检查 的 
软件 工具 ， 它 会 根据 管理 员 设 置 的 配置 文件 对 指定 要 监控 的 文件 进行 读 取 ， 对 每 个 文件 生 
成 对 应 的 数字 签名 ， 并 把 结果 保存 到 自己 的 数据 库 中 ， 当 文件 现在 的 数字 签名 与 数据 库 中 
保留 的 数字 签名 不 一 致 时 说 明 系 统 被 入 侵 了 。 另 外 ，AntiSniffer 可 以 检测 本 地 网 络 中 是 否 
有 网 卡 处 于 混杂 模式 ， 从 而 发 现 被 安装 了 Sniffer 的 计算 机 。 

3. 会 话 加 密 

对 安全 性 要 求 较 高 的 数据 进行 加 密 ， 使 得 攻击 者 即使 获取 了 数据 ， 也 很 难 还 原 数据 的 
原文 。 一 次 性 口令 技术 可 以 使 窃听 账号 失去 意义 。 例 如 ，Skey 一 次 性 口令 系统 ， 能 够 对 
访问 者 的 身份 与 设备 进行 综合 验证 。 S/key 协 议 分 配给 访问 者 的 口令 每 次 都 不 同 , 可 以 有 效 
地 解决 口令 泄露 问题 。 另 外 ，SSH 协议 也 是 目前 比较 可 靠 的 ， 专 门 为 远程 登录 会 话 和 其 他 
网 络 服务 提供 安全 性 的 协议 。 它 可 以 把 所 有 传输 的 数据 进行 加 密 ， 同 时 对 传输 的 数据 进行 
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压缩 ,这 样 还 可 以 加 快 传输 速度 。 利用 SSH 协议 可 以 有 效 地 防止 远程 管理 过 程 中 的 信息 泄 
露 问题 。 

4. 应 对 交换 环境 中 的 嗅 探 攻击 

在 交换 环境 下 需要 先进 行 ARP 欺骗 才能 使 用 Sniffer 攻击 。 因 此 ， 在 关键 设备 上 设置 
静态 ARP,， 可 以 应 对 交换 环境 下 的 ARP 欺骗 ， 如 在 防火 墙 和 边界 路 由 器 上 设置 静态 ARP。 
在 大 型 网 络 上 可 以 采用 ARPwatch、Antiarp 等 软件 来 监测 人 P 与 ARP 之 间 对 应 的 变化 ， 从 
而 发 现 ARP 欺骗 。 

5. 多 注意 网 络 异常 情况 
对 为 Sniffer 是 一 种 被 动 监听 的 程序 , 一 般 不 会 留 下 什么 核查 线索 , 所 以 不 容易 被 发 现 。 
但 是 Sniffer 在 工作 时 要 占用 大 量 的 网 络 资源 ， 特 别 是 当 Sniffer 对 很 多 网 络 流量 同时 进行 
嗅 探 时 。 虽 然 很 多 Sniffer 都 做 了 改进 ， 只 对 数据 帧 的 前 面 若干 字 节 进 行 嗅 探 ， 不 过 仍 会 消 
耗 大 量 的 网 络 资源 。 监 控 网 络 经 常 出 现 的 异常 情况 ， 也 可 以 发 现 网 络 中 存在 的 Sniffer。 
Sniffer 对 信息 安全 的 威胁 来 自 其 被 动 性 和 非 干 扰 性 ， 这 使 得 它 具 有 很 强 的 隐蔽 性 ， 往 往 使 
信息 泄密 不 易 被 发 现 。 黑 客 正 是 利用 这 一 点 来 进行 网 络 信息 窃取 的 ， 因 此 采取 一 定 的 防范 
措施 保障 网 络 中 的 信息 安全 是 很 有 必要 的 。Sniffer 使 得 黑客 成 功 入 侵 网 络 内 某 台 安全 防护 
相对 薄弱 的 计算 机 后 ， 可 进一步 获取 其 他 计算 机 上 用 户 的 账号 和 口令 等 关键 信息 ， 扩 大 攻 
击 范 围 。 因 而 ， 一 个 网 络 上 存在 Sniffer 对 该 网 络 将 构成 极 大 的 威胁 。 根 据 网 络 环境 和 实际 
条 件 的 不 同 ， 可 以 灵活 采取 各 种 检测 防范 措施 ， 最 大 限度 地 减 小 Sniffer 的 威胁 。 


2.2.6 ”Sniffer 的 应 用 


也 可 以 作为 黑客 嗅 探 和 监听 的 工具 。 最 近 两 年 ， 网 络 监听 技术 出 现 了 新 的 重要 特征 。 传 统 
的 Sniffer 技术 是 被 动 地 监听 网 络 通信 、 用 户 名 和 口令 ， 而 新 的 Sniffer 技术 出 现 了 主动 地 
控制 通信 数据 的 特点 ， 把 Sniffer 技术 扩展 到 了 一 个 新 的 领域 。Sniffer 主要 有 以 下 儿 个 方面 
的 应 用 : 

(1) Sniffer 可 以 帮助 评估 业务 运行 状态 。 如 果 网 管 员 能 告诉 老板 说 ， 公 司 的 业务 运行 
正常 ， 性 能 良好 ， 比 起 跟 老 板报 告 说 网 络 没有 问题 ， 老 板 会 更 愿意 听 到 前 面 的 汇报 ， 但 要 
做 出 这 样 的 汇报 ， 光 说 是 不 行 的 ， 必 须 有 根据 ，Sniffer 能 够 提供 这 样 的 根据 ， 如 各 个 应 用 
的 响应 时 间 、 一 个 操作 需要 的 时 间 、 应 用 带宽 的 消耗 、 应 用 的 行为 特征 、 应 用 性 能 的 瓶颈 
等 ， 这 些 Sniffer 都 可 以 提供 相应 的 数据 。 

(2) Sniffer 能 够 帮助 评估 网 络 的 性 能 。 例 如 ， 各 链 路 的 使 用 率 、 网 络 的 性 能 趋势 、 网 
络 中 哪 一 些 应 用 消耗 带宽 最 多 、 网 络 上 哪 一 些 用 户 消耗 带宽 最 多 、 各 分 支 机 构 流 量 状况 、 
影响 网 络 性 能 的 主要 因素 、 可 否 做 一 些 相应 的 控制 等 。 

(3) Sniffer 帮助 快速 定位 故障 。Sniffer 的 监测 、 专 家 系统 、 解 码 三 大 功能 都 可 以 帮助 
快速 定位 故障 。 

(4) Sniffer 可 以 帮助 排除 潜在 的 威胁 。 网 络 中 有 各 种 各 样 的 应 用 ， 有 的 是 关键 应 用 ; 
有 的 是 办 公 软 件 ， 有 的 是 业务 应 用 ; 还 有 的 就 是 威胁 ， 威 胁 不 但 对 业务 没有 帮助 ， 还 可 能 
带 来 危害 ， 如 病毒 、 木 马 、 扫 描 等 ，Sniffer 可 以 快速 地 发 现 它们 ， 并 且 发 现 攻击 的 来 源 ， 
这 就 为 网 管 员 控 制 提供 了 根据 。 例 如 ， 在 2003 年 “冲击 波 ” 病 毒 发 作 的 时 候 ， 很 多 Sniffer 


的 用 户 通过 Sniffer 快速 定位 受 感染 的 计算 机 。 
(5) Sniffer 可 以 做 流量 的 趋势 分 析 。 通 过 长 期 监控 ， 可 以 发 现 网 络 流量 的 发 展 趋势 ， 
(6) Sniffer 可 以 做 应 用 性 能 预测 。Sniffer 能 够 根据 捕获 的 流量 分 析 一 个 应 用 的 行为 特 
征 ， 还 可 以 用 Sniffer 来 评估 应 用 的 瓶颈 在 哪 ， 不 同 的 应 用 瓶颈 不 同 ，Sniffer 能 比较 准确 地 
预测 出 具体 的 位 置 。 


2.3 _ Sniffer Pro 软件 介绍 


2.3.1 Sniffer Pro 软件 简介 


Sniffer Pro 是 美国 Network Associates 公司 出 品 的 一 款 利 用 计算 机 网 络 接口 设备 截取 在 
网 络 传输 的 数据 包 并 对 数据 包 进 行 解码 分 析 的 网 络 分 析 软 件 ， 具 有 捕获 网 络 流量 进行 详细 
分 析 、 实 时 监控 网 络 活动 、 利 用 专家 分 析 系统 诊断 问题 、 收 集 网 络 利用 率 和 错误 等 功能 。 
它 智 能 化 的 专家 分 析 系 统 能 够 协助 用 户 在 运行 数据 包 捕 获 、 实 时 解码 的 同时 ， 快 速 识别 各 
种 异常 事件 ;数据 包 解码 模块 支持 广泛 的 网 络 和 应 用 协议 ， 不 仅 限 于 Oracle， 还 包括 VoIP 
类 协议 ， 以 及 金融 行业 专用 协议 和 移动 网 络 类 协议 等 。 

Sniffer Pro 还 提供 了 直观 易 用 的 仪表 板 和 各 种 统计 数据 、 逻 辑 拓扑 视图 ， 并 且 提供 能 
够 深入 到 数据 包 的 点 击 关联 分 析 能 力 。 因 此 ，Sniffer Pro 的 网 络 功能 正好 为 用 户 提供 了 一 
个 网 络 协议 学 习 和 实践 的 优秀 平台 。 

Sinffer Pro 可 用 于 网 络 故 障 与 性 能 管理 ， 在 局 域 网 领域 应 用 非常 广泛 。 它 是 一 款 很 好 
的 网 络 分 析 程 序 , 允许 管理 员 分 析 通 过 网 络 的 实际 数据 和 协议 , 从 而 了 解 网 络 的 运行 情况 。 
Sinffer Pro 具有 以 下 特点 : 

(1) Sniffer Pro 可 以 解码 TCP/IP、IPX、SPX 等 几乎 所 有 的 网 络 传输 标准 协议 。 

(2) 支持 局 域 网 、 城 域 网 、 广 域 网 等 网 络 技术 。 

(3) 提供 对 网 络 问题 的 分 析 和 诊断 ， 并 推荐 针对 分 析 所 应 该 采取 的 措施 。 

(4) 可 以 离线 捕获 数据 ， 并 对 捕获 的 数据 进行 存储 ， 以 方便 网 络 管理 人 员 对 所 捕获 的 
数据 进行 细致 的 分 析 。 

有 了 Sniffer Pro， 网 络 管理 员 就 能 够 在 一 个 容纳 几 十 台 甚 至 更 多 计算 机 的 网 络 中 查找 
网 络 故障 并 及 时 进行 修复 。 网 络 技术 人 员 往 往 要 借助 它 找 出 网 络 中 的 问题 ， 这 时 Sniffer 又 
被 称 为 网 络 协议 分 析 仪 。 然 而 黑客 也 可 以 利用 它 截获 网 络 上 的 通信 信息 ， 获 取 其 他 用 户 的 
账号 及 密码 等 重要 信息 ， 这 时 Sniffer 就 可 作为 黑客 的 攻击 工具 。 


2.3.2 Sniffer Pro 软件 使 用 


通过 Sniffer Pro 实时 监控 ， 及 时 发 现 网 络 环境 中 的 故障 (如 病毒 、 攻 击 、 流 量 超 限 等 
非 正常 行为 )。 对 于 很 多 企业 、 网 吧 网 络 环境 中 ， 网 关 〈 路 由 、 代 理 等 ) 自身 不 具备 流量 监 
控 、 查 询 功 能 ，Sniffer Pro 将 是 一 个 很 好 的 管理 工具 。Sniffer Pro 强大 的 实用 功能 还 包括 网 
内 任意 终端 流量 实时 查询 、 网 内 终端 与 终端 之 间 流 量 实时 查询 、 终 端 流量 TOP 排行 、 异 常 
告警 等 。 同 时 ， 将 数据 包 捕获 后 ， 通 过 Sniffer Pro 的 专家 分 析 系 统 帮助 我 们 更 进一步 分 析 
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数据 包 ， 以 便 更 好 地 分 析 、 解 决 网 络 异 常 问题 。 
(1) 部 署 Sniffer Pro 软件 的 网 络 拓扑 ， 如 图 2.5 所 示 。 


被 镜像 端口 | 路 由 器 “一 一 


Internet j 


PC PC Sniffer Pro 
图 2.5 带 有 Sniffer Pro 的 网 络 拓扑 


(2) 配置 交换 机 端口 镜像 。 

端口 镜像 就 是 把 交换 机 一 个 或 多 个 端口 (VLAN) 的 数据 镜像 到 一 个 或 多 个 端口 的 方 
法 。 交 换 机 的 工作 原理 与 Hub 有 很 大 的 不 同 ，Hub 组 建 的 网 络 数据 交换 都 是 通过 广播 方式 
进行 的 ， 而 交换 机 组 建 的 网 络 是 根据 交换 机 内 部 MAC 表 (通常 也 称 为 IP-MAC 表 ) 进行 
数据 转发 的 ， 因 此 需要 通过 配置 交换 机 来 把 一 个 或 多 个 端口 的 数据 转发 到 某 一 个 端口 来 实 
现 对 网 络 的 监听 。 

Sniffer Pro 的 安装 、 启 动 、 配 置 详 见 第 11 章 。 


2.4 网 路 岗 软 件 介绍 


2.4.1 网 路 岗 的 基本 功能 


“网 路 岗 ” 由 深圳 德尔 软件 公司 开发 ， 是 国内 广泛 使 用 且 专 业 的 网 络 监控 软件 及 局 域 
网 监控 产品 。 只 需要 通过 一 台 计 算 机 即 可 监控 整个 网 络 的 网 络 活动 ， 是 政府 机 构 、 企 事业 
单位 和 校园 网 吧 上 网 的 管理 软件 之 一 。 

网 路 岗 软 件 通 过 旁 路 对 网 络 数 据 流 进行 采集 、 分 析 和 识别 ， 实 时 监视 网 络 系统 的 运行 
状态 ， 记 录 网 络 事件 ， 发 现 安全 隐患 ， 并 对 网 络 活动 的 相关 信息 进行 存储 、 分 析 和 协议 还 
原 。 该 产品 可 监视 企业 内 部 员工 是 否 将 公司 机 密 资 料 通过 因特网 外 传 到 竞争 对 手 的 手中 。 

网 路 岗 软件 可 以 监控 的 内 容 包括 监控 邮件 内 容 和 附件 〈 包 括 Web 邮件 监控 )、 监 控 聊 
天 内 容 、 监 控 上 网 网 站 、 监 控 FTP 外 传 文件 、 监 控 Telnet 命令 、 监 控 上 网 流量 ，IP 过 滤 、 
端口 过 滤 、 网 页 过 滤 、 封 堵 聊 天 游戏 ;限制 外 发 资料 邮件 大 小 ; 限制 网 络 流量 ，IP-MAC 
绑 定 ; 截取 屏幕 等 。 


2.4.2 ”网 路 岗 对 上 网 的 监控 程度 


(1) 让 菜 人 只 能 在 规定 时 间 上 网 ， 且 只 能 上 指定 的 网 站 。 
(2) 让 某 人 只 能 在 哪个 网 站 上 收发 邮件 ， 只 能 收发 哪 类 的 邮箱 。 


(3) 谁 什么 时 候 通 过 什么 软件 发 送 了 什么 邮件 或 通过 哪个 网 站 发 了 什么 软件 ， 邮 件 的 
内 容 和 附件 是 什么 ， 以 及 附件 在 发 送 者 计算 机 的 具体 位 置 。 

(4) 规定 某 人 只 能 发 送 多 大 的 邮件 。 

(5) 规定 某 些 人 只 能 发 送 到 哪些 目标 邮箱 。 

(6) 轻松 抓 取 指 定 人 的 计算 机 屏幕 。 

(7) 所 有 机 器 在 一 天 内 各 时 间 段 的 上 网 流量 。 

(8) 某 台 机 器 哪些 外 部 端口 不 能 用 ， 或 只 能 通过 哪些 端口 和 外 界 联 系 等 。 


2.4.3 ”网 路 岗 安装 方式 


(1) 网 路 岗 安装 在 代理 服务 器 上 ， 通 过 安装 “代理 服务 器 软件 ”或 “网 路 岗 NAT”， 
实现 所 有 机 器 共享 一 个 出 口上 网 ， 如 图 2.6 所 示 。 


图 2.6 网 路 岗 在 代理 服务 器 上 的 安装 拓扑 


安装 方法 : 将 网 路 岗 安装 在 代理 服务 器 上 ， 绑 定 内 网 的 网 卡 ， 网 路 岗 设置 为 “ 非 旁 路 
监控 ”模式 ， 重 新 启动 计算 机 。 

(2) 网 路 岗 安装 在 Hub 的 一 个 端口 上 ， 通 过 “JP 分 享 器 、 路 由 器 或 防火 墙 ” 实现 整个 
网 络 共享 一 个 出 口上 网 ， 且 内 部 交换 机 均 不 具备 设置 镜像 端口 的 功能 ， 如 图 2.7 所 示 。 


图 2.7 网 路 岗 在 Hub 的 一 个 端口 上 的 安装 拓扑 


安装 方法 : 在 内 部 交换 机 和 路 由 器 之 间 加 一 共享 式 Hub， 再 将 安装 网 路 岗 的 机 器 网 线 
也 接 入 到 Hub 上 ， 网 路 岗 设置 为 “ 旁 路 监控 ”模式 。 
(3) 网 路 岗 安装 在 交换 机 的 镜像 端口 上 ， 通 过 “了 分 享 器 、 路 由 器 或 防火 墙 ” 实 现 整 
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个 网 络 共享 一 个 出 口上 网 ， 且 内 部 主 交换 机 具备 设置 镜像 端口 的 功能 ， 如 图 2.8 所 示 。 


[ SS ] 


特 网 


图 2.8 网 路 岗 在 交换 机 的 镜像 端口 上 的 安装 拓扑 


安装 方法 : 在 内 部 主 交换 机 上 设置 端口 镜像 , 将 接 路 由 器 的 网 线 设置 为 “被 镜像 端口 ” 
将 接 网 路 岗 的 网 线 设置 为 “镜像 端口 >。 网 路 岗 设 置 为 “ 旁 路 监控 ”模式 。 

(4) 网 路 岗 安装 在 网 络 桥 上 ， 在 一 台 双 网 卡 计算 机 上 建立 “网 络 桥 ?， 将 该 “网 络 桥 ” 
放 在 Intemet 出 口 处 ， 如 图 2.9 所 示 。 


交换 机 | 


[LEP 分 享 器 、 路 由 器 或 防火 吉 


双 网 卡 主机 ， 已 启用 WinXP/Win2003 本 身 自 带 的 “网 络 桥 ” 功 
攻 ， 一 块 网 卡 接 内 部 交换 机 ， 一 块 网 卡 接 出 口 RouterFireWall 科 


图 2.9 网 路 岗 在 网 络 桥 上 的 安装 拓扑 


安装 方法 : 直接 将 网 路 岗 安装 在 启用 “网 络 桥 ”的 机 器 上 ， 网 路 岗 绑 定 在 内 网 的 网 卡 
上 ， 同 时 给 网 络 桥 配 置 IP 以 使 其 能 访问 内 部 网 其 他 机 器 。 网 路 岗 设置 为 “ 非 旁 路 监控 ” 模 
式 ， 重 新 启动 计算 机 。 

网 路 岗 的 安装 、 启 动 、 配 置 、 使 用 详 见 第 12 章 。 


课 后 习题 


一 、 选 择 题 
ls 下面 ) 不 是 内 网 监控 基本 功能 。 


A. 内 网 行为 管理 B. 软 硬 件 资产 管理 


C. 内 容 监视 D. 屏幕 监视 
2 下面 ) 不 是 外 网 监控 基本 功能 。 
A. 上 网 行为 管理 B. 网 络 行为 审计 
C. 内 容 监 视 D. 屏幕 监视 
3. Sniffer 攻击 不 能 窃取 下 面 〈 ) 数据 。 
A. 口令 B. 计算 机 上 的 文本 信息 
C. 机 密 的 信息 D. 底层 协议 信息 
4. Sniffer 的 ( ) 功能 不 能 帮助 快速 定位 故障 。 
A. 监测 B. 解码 
C. 专家 系统 D. 流量 统计 
5. 计算 机 网 络 硬件 设备 中 无 交换 能 力 的 集线器 属于 ( ) 共享 设备 。 
A. 物理 层 B. 数据 链 路 层 
C. 传输 层 D. 网 络 层 
6. 共享 式 网 络 结构 简单 ， 主 要 的 设计 思想 就 是 将 网 络 中 心 设备 设置 成 (  )。 
A. 集线器 B. 交换 机 
C， 路 由 器 D. 防火 墙 
二 、 填 空 题 
1. 网 络 监控 产品 主要 分 为 和 两 种 。 
2. 网 络 监控 软件 按照 运行 原理 区 分 为 和 两 种 。 
3. 监听 模式 是 通过 抓 取 总 线 MAC 层 方式 获得 监听 数据 ， 并 利用 协 
议 原理 实现 控制 的 方法 。 
4. 网 关 模 式 按照 管理 目标 区 分 为 和 _ 两 种 。 
5. Sniffer 是 利用 计算 机 的 截获 目的 地 为 其 他 计算 机 的 的 一 种 工具 。 


6.“ 混 杂 ” 模 式 是 指 网 络 上 的 设备 对 
是 它们 自己 的 数据 。 
7. Sniffer 一 般 运行 在 或 的 主机 上 。 
8. 大 多 数 的 Sniffer 至 少 能 够 分 析 下 面 的 协议 : 
三 、 简 答题 
.网 络 监控 的 主要 目标 是 什么 ? 
.网 络 监控 软件 相 比 网 络 监控 硬件 有 哪些 优点 ? 
.网 络 监控 软件 中 监听 模式 有 哪些 主要 形式 ? 
. 网 关 模 式 下 内 网 监控 的 基本 功能 有 哪些 ? 
. 网 关 模 式 下 外 网 监控 的 基本 功能 有 哪些 ? 
. 简 述 一 下 “混杂 ”方式 的 工作 原理 。 
.Sniffer 可 能 造成 哪些 危害 ? 
.如 何 防御 Sniffer 攻击 ? 
Sniffer 有 哪些 应 用 ? 
10. Sniffer Pro 软件 主要 有 哪些 功能 ? 
11. 网 路 岗 软 件 可 以 监控 哪些 内 容 ? 


上 传送 的 所 有 数据 进行 侦 听 ， 并 不 仅仅 


和 
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第 3 章 操作 系统 安全 


3.1 国际 安全 评价 标准 的 发 展 及 其 联系 


计算 机 系统 安全 评价 标准 是 一 种 技术 性 法 规 。 在 信息 安全 这 一 特殊 领域 ， 如 果 没 有 这 
一 标准 ， 与 此 相关 的 立法 、 执 法 就 会 有 失 偏 颇 ， 最 终 会 给 国家 的 信息 安全 带 来 严重 后 果 。 
由 于 信息 安全 产品 和 系统 的 安全 评价 事 关 国家 的 安全 利益 ， 因 此 许多 国家 都 在 充分 借鉴 国 
际 标准 的 前 提 下 ， 积 极 制定 本 国 的 计算 机 安全 评价 认证 标准 。 

第 一 个 有 关 信 息 技术 安全 评价 的 标准 诞生 于 20 世纪 80 年 代 的 美国 ， 就 是 著名 的 “可 
信 计 算 机 系统 评价 准则 (Trusted Computer System Evaluation Criteri，TCSEC， 又 称 为 橘 皮 
书 )”。 该 准则 对 计算 机 操作 系统 的 安全 性 规定 了 不 同 的 等 级 。 从 20 世纪 90 年 代 开始 ， 一 
些 国家 和 国际 组 织 相继 提出 了 新 的 安全 评价 准则 。1991 年 ， 欧 共 体 发 布 了 “信息 技术 安全 
评价 准则 (Information Technology Security Evaluation Criteria，ITSEC)”。1993 年 ， 加 拿 大 
发 布 了 “加 拿 大 可 信 计 算 机 产品 评价 准则 (Canadian Trusted Computer Product Evaluation 
Criteria，CTCPEC)” CTCPEC 综合 TCSEC 和 ITSEC 两 个 准则 的 优点 。 同 年 ， 美 国 在 对 
TCSEC 进行 修改 补充 并 吸收 ITSEC 优点 的 基础 上 发 布 了 “信息 技术 安全 评价 联邦 准则 
(FC)” 如 图 3.1 所 示 。 


1993 加 拿 大 可 
信 计 算 机 产品 
评价 准则 


1993 美国 信息 
技术 安全 评价 
联邦 准则 


图 3.1 安全 评价 标准 的 发 展 


1996 年 6 月 ， 上 述 国家 共同 起 草 了 一 份 通用 准则 (CC)， 并 将 CC 推广 为 国际 标准 。 
CC 发 布 的 目的 是 建立 一 个 各 国都 能 接受 的 通用 的 安全 评价 准则 ， 国 家 与 国家 之 间 可 以 通 
过 签订 互 认 协 议 来 决定 相互 接受 的 认可 级 别 ， 这 样 能 使 基础 性 安全 产品 在 通过 CC 准则 评 
价 并 得 到 许可 进入 国际 市 场 时 不 需要 再 作 评价 。 此 外 ， 国 际 标准 化 组 织 和 国际 电工 委 也 已 


经 制定 了 上 百 项 安全 标准 ， 其 中 包括 专门 针对 银行 业务 制定 的 信息 安全 标准 。 国 际 电 信 联 
盟 和 欧洲 计算 机 制造 商 协会 也 推出 了 许多 安全 标准 。 


3.1.1 计算 机 安全 评价 标准 


计算 机 安全 评价 标准 CTCSEC) 是 计算 机 系统 安全 评估 的 第 一 个 正式 标准 ， 具 有 划 时 
代 的 意义 。 该 准则 于 1970 年 由 美国 国防 科学 委员 会 提出 , 并 于 1985 年 12 月 由 美国 国防 部 
公布 。TCSEC 最 初 只 是 军用 标准 ， 后 来 延至 民用 领域 。TCSEC 将 计算 机 系统 的 安全 划分 
为 4 个 等 级 、7 个 级 别 。 

。 D 类 安全 等 级 : D 类 安全 等 级 只 包括 D1 一 个 级 别 。D1 的 安全 等 级 最 低 ，D1 系统 
只 为 文件 和 用 户 提 供 安 全 保护 。D1 系统 最 普通 的 形式 是 本 地 操作 系统 ， 或 者 是 一 
个 完全 没有 保护 的 网 络 。 

。 C 类 安全 等 级 : 该 类 安全 等 级 能 够 提供 审慎 的 保护 ， 并 为 用 户 的 行动 和 责任 提供 审 
计 能 力 。C 类 安全 等 级 可 划分 为 Cl1 和 C2 两 类 。C1 系统 的 可 信任 运算 基础 体制 ， 
通过 将 用 户 和 数据 分 开 来 达到 安全 的 目的 。 在 C1 系统 中 ， 所 有 的 用 户 以 同样 的 灵 
敏 度 来 处 理 数 据 ， 即 用 户 认为 Cl 系统 中 的 所 有 文档 都 具有 相同 的 机 密 性 。C2 系统 
比 C1 系统 加 强 了 可 调 的 审慎 控制 。 在 连接 到 网 络 上 时 ，C2 系统 的 用 户 分 别 对 各 自 
的 行为 负责 。C2 系统 通过 登录 过 程 、 安 全 事件 和 资源 隔离 来 增强 这 种 控制 。C2 系 
统 具 有 C1 系统 中 所 有 的 安全 性 特征 。 

。 B 类 安全 等 级 : B 类 安全 等 级 可 分 为 Bl、B2 和 B3 三 类 。B 类 系统 具有 强制 性 保护 
功能 。 强 制 性 保护 意味 着 如 果 用 户 没 有 与 安全 等 级 相连 ， 系 统 就 不 会 让 用 户 存 取 对 
象 。B1 系 统 满足 下 列 要 求 : 系统 对 网 络 控制 下 的 每 个 对 象 都 进行 灵敏 度 标记 ， 系 统 
使 用 灵敏 度 标记 作为 所 有 强迫 访问 控制 的 基础 。 系 统 在 把 导入 的 、 非 标记 的 对 象 放 
入 系统 前 标记 。 灵 敏 度 标记 必须 准确 地 表示 其 所 联系 的 对 象 的 安全 级 别 。 当 系统 管 
理 员 创 建 系统 或 增加 新 的 通信 通道 或 1O 设备 时 ， 管 理 员 必须 指定 每 个 通信 通道 和 
LO 设备 是 单 级 还 是 多 级 ， 并 且 管 理 员 只 能 手工 改变 指定 。 单 级 设备 并 不 保持 传输 
信息 的 灵敏 度 级 别 ， 所 有 直接 面向 用 户 位 置 的 输出 〈 无 论 是 虚拟 的 还 是 物理 的 ) 都 
必须 产生 标记 来 指示 关于 输出 对 象 的 灵敏 度 , 系统 必须 使 用 用 户 的 口令 或 证 明 来 决 
定 用 户 的 安全 访问 级 别 ， 系 统 必须 通过 审计 来 记录 未 授权 访问 的 企图 。B2 系统 必 
须 满足 Bl 系统 的 所 有 要 求 。 另 外 ，B2 系统 的 管理 员 必 须 使 用 一 个 明确 的 、 文 档 化 
的 安全 策略 模式 作为 系统 的 可 信任 运算 基础 体制 。B2 系统 必须 满足 下 列 要 求 : 系 
统 必须 立即 通知 系统 中 的 每 一 个 用 户 所 有 与 之 相关 的 网 络 连接 的 改变 。 只 有 用 户 能 
够 在 可 信任 通信 路 径 中 进行 初始 化 通信 ,可 信任 运算 基础 体制 能 够 支持 独立 的 操作 
者 和 管理 员 。B3 系统 必须 符合 B2 系统 的 所 有 安全 需求 。B3 系统 具有 很 强 的 监视 
委托 管理 访问 能 力 和 抗 干扰 能 力 。B3 系统 必须 设 有 安全 管理 员 。B3 系统 应 满足 以 
下 要 求 : 除了 控制 对 个 别 对 象 的 访问 外 ，B3 系统 必须 产生 一 个 可 读 的 安全 列表 ， 
每 个 被 命名 的 对 象 提 供 对 该 对 象 没有 访问 权 的 用 户 列表 说 明 ，B3 系统 在 进行 任何 
操作 前 要 求 用 户 进行 身份 验证 。B3 系统 验证 每 个 用 户 ， 同 时 还 会 发 送 一 个 取消 访 
问 的 审计 跟踪 消息 。 设计 者 必须 正确 区 分 可 信任 的 通信 路 径 和 其 他 路 径 ， 可 信任 的 
通信 基础 体制 为 每 一 个 被 命名 的 对 象 建立 安全 审计 跟踪 , 可 信任 的 运算 基础 体制 支 
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持 独立 的 安全 管理 。 

。 A 类 安全 等 级 。A 系统 的 安全 级 别 最 高 。 目 前 ，A 类 安全 等 级 只 包含 Al 一 个 安全 
类 别 。Al 类 与 B3 类 相似 ， 对 系统 的 结构 和 策略 不 作 特别 要 求 。A1l 系统 的 显著 特 
征 是 系统 的 设计 者 必须 按照 一 个 正式 的 设计 规范 来 分 析 系 统 。 对 系统 分 析 后 ,设计 
者 必须 运用 核对 技术 来 确保 系统 符合 设计 规范 。A1 系 统 必须 满足 下 列 要 求 : 系统 管 
理 员 必须 从 开发 者 那里 接收 一 个 安全 策略 的 正式 模型 ， 所 有 的 安装 操作 都 必须 由 系 
统管 理 员 进行 ， 系 统管 理 员 进行 的 每 一 步 安 装 操作 都 必须 有 正式 文档 。 


3.1.2 欧洲 的 安全 评价 标准 


ITSEC 是 欧洲 多 国安 全 评价 方法 的 综合 产物 ， 应 用 领域 为 军队 、 政 府 和 商业 。 该 标准 
将 安全 概念 分 为 功能 与 评估 两 部 分 。 功 能 准则 从 F1~F10 共 分 10 级 。F1~F5 级 对 应 于 
TCSEC 的 D~A。F6~F10 级 分 别 对 应 数据 和 程序 的 完整 性 、 系 统 的 可 用 性 、 数 据 通信 的 
完整 性 、 数 据 通信 的 保密 性 及 机 密 性 和 完整 性 的 网 络 安全 。 评 估 准 则 分 为 6 级 ， 分 别 是 测 
试 、 配 置 控制 和 可 控 的 分 配 、 能 访问 详细 设计 和 源码 、 详 细 的 脆弱 性 分 析 、 设 计 与 源码 明 
显 对 应 及 设计 与 源码 在 形式 上 一 致 。 
ITSEC 定义 了 从 E0 级 (不 满足 品质 ) ~E6 级 (形式 化 验证 ) 的 7 个 安全 等 级 ， 对 于 
每 个 系统 ， 安 全 功能 可 分 别 定义 。 这 7 个 安全 等 级 分 别 是 : 
。 E0 级 : 该 级 别 表示 不 充分 的 安全 保证 。 
。 El 级 : 该 级 别 必须 有 一 个 安全 目标 和 一 个 对 产品 或 系统 的 体系 结构 设计 的 非 形式 化 
的 描述 ， 还 需要 有 功能 测试 ， 以 表明 是 否 达 到 安全 目标 。 
。 E2 级 : 除了 El 级 的 要 求 外 ， 还 必须 对 详细 的 设计 有 非 形式 化 描述 。 另 外 ， 功 能 测 
试 的 证 据 必 须 被 评估 ， 必 须 有 配置 控制 系统 和 认可 的 分 配 过 程 。 
。 E3 级 : 除了 E2 级 的 要 求 外 , 不 仅 要 评估 与 安全 机 制 相对 应 的 源 代码 和 硬件 设计 图 ， 
还 要 评估 测试 这 些 机 制 的 证 据 。 
。 E4 级 : 除了 E3 级 的 要 求 外 ， 必 须 有 支持 安全 目标 的 安全 策略 的 基本 形式 模型 。 
。 E5 级 : 除了 E4 级 的 要 求 外 ， 在 详细 的 设计 和 源 代码 或 硬件 设计 图 之 间 有 紧密 的 对 
。 E6 级 : 除了 E5 级 的 要 求 外 ， 必 须 正 式 说 明 安全 加 强 功能 和 体系 结构 设计 ， 使 其 与 
安全 策略 的 基本 形式 模型 一 致 。 


3.1.3 ”加拿大 的 评价 标准 
CTCPEC 专门 针对 政府 需求 而 设计 。 与 ITSEC 类 似 , 该 标准 将 安全 分 为 功能 性 需求 和 


保证 性 需要 两 部 分 。 功 能 性 需求 共 划 分 为 4 大 类 : 机 密 性 、 完 整 性 、 可 用 性 和 可 控 性 。 每 
种 安全 需求 又 可 以 分 成 很 多 小 类 来 表示 安全 性 上 的 差别 ， 分 级 条 数 为 0 一 5 级 。 


3.1.4 美国 联邦 准则 


FC 是 对 TCSEC 的 升级 ， 并 引入 了 “保护 轮廓 (PP)” 的 概念 。 每 个 轮廓 都 包括 功能 、 
开发 保证 和 评价 三 个 部 分 。FC 充分 吸取 了 ITSEC 和 CTCPEC 的 优点 ， 在 美国 的 政府 、 民 


间 和 商业 领域 得 到 广泛 应 用 。 但 FC 有 很 多 缺陷 ， 是 一 个 过 渡 标 准 ， 后 来 结合 ITSEC 发 展 
为 国际 通用 准则 。 


3.1.5 国际 通用 准则 


CC 是 国际 标准 化 组 织 统一 现 有 多 种 准则 的 结果 ， 是 目前 最 全 面 的 评价 准则 。199%6 年 
6 月 ，CC 第 一 版 发 布 ; 1998 年 $ 月 ，CC 第 二 版 发 布 ; 1999 年 10 月 ，CC v2.1 版 发 布 ， 并 
且 成 为 ISO 标准 。CC 的 主要 思想 和 框架 都 取 自 ITSEC 和 FC， 并 充分 突出 了 “保护 轮廓 ” 
概念 。CC 将 评估 过 程 划 分 为 功能 和 保证 两 部 分 , 评估 等 级 分 为 eall、 eal2、 eal3、eal4、 eal5、 
eal6 和 eal7 共 7 个 等 级 。 每 一 级 均 需 评估 7 个 功能 类 ， 分别 是 配置 管理 、 分 发 和 操作 、 开 
发 过 程 、 指 导 文 献 、 生 命 期 的 技术 支持 、 测 试 和 脆弱 性 评估 。 


3.2 ”我 国安 全 标准 简介 


我 国信 息 安全 研究 经 历 了 通信 保密 和 计算 机 数据 保护 两 个 发 展 阶段 ， 正 在 进入 网 络 信 
息 安 全 的 研究 阶段 。 通 过 学 习 、 吸 收 、 消 化 TCSEC 的 原则 进行 了 安全 操作 系统 、 多 级 安 
全 数据 库 的 研制 ， 但 由 于 系统 安全 内 核 受 控 于 人 ， 以 及 国外 产品 的 不 断 更 新 升级 ， 基 于 具 
体 产品 的 增强 安全 功能 的 成 果 ， 难 以 保证 没有 漏洞 ， 难 以 得 到 推广 应 用 。 在 学 习 借鉴 国外 
技术 的 基础 上 ， 国 内 一 些 部 门 也 开发 研制 了 一 些 防火 墙 、 安 全 路 由 器 、 安 全 网 关 、 黑 客 入 
侵 检测 、 系 统 脆弱 性 扫描 软件 等 。 但 是 ， 这 些 产品 安全 技术 的 完善 性 、 规 范 化 实用 性 还 存 
在 许多 不 足 , 特 别 是 在 多 平台 的 兼容 性 及 安全 工具 的 协作 配合 和 互动 性 方面 存在 很 大 距离 ， 
理论 基础 和 自主 的 技术 手段 也 需要 发 展 和 强化 。 

以 前 ， 国 内 主要 是 等 同 采用 国际 标准 。 现 在 ， 由 公安 部 主持 制定 、 国 家 技术 标准 局 发 
布 的 中 华人 民 共 和 国 国家 标准 GB 17895 一 1999《 计 算 机 信息 系统 安全 保护 等 级 划分 准则 》 
已 经 正式 颁布 并 使 用 了 。 该 准则 将 信息 系统 安全 分 为 5 个 等 级 ， 分 别 是 自主 保护 级 、 系 统 
审计 保护 级 、 安 全 标记 保护 级 、 结 构 化 保护 级 和 访问 验证 保护 级 。 主 要 的 安全 考核 指标 有 
身份 认证 、 自 主 访问 控制 、 数 据 完整 性 、 审 计 、 隐 蔽 信道 分 析 、 客 体重 用 、 强 制 访问 控制 、 
安全 标记 、 可 信 路 径 和 可 信和 恢复 等 ， 这 些 指标 涵盖 了 不 同 级 别 的 安全 要 求 。 


3.2.1 用 户 自主 保护 级 


本 级 的 可 信 计 算 基 通过 隔离 用 户 与 数据 ， 使 用 户 具 备 自主 安全 保护 的 能 力 。 它 具有 多 
种 形式 的 控制 能 力 ， 对 用 户 实施 访问 控制 ， 即 为 用 户 提供 可 行 的 手段 ， 保 护 用 户 和 用 户 组 
信息 ， 避 免 其 他 用 户 对 数据 的 非法 读 写 与 破坏 。 有 具体 表现 在 如 下 几 个 方面 : 

(1) 可 信 计 算 基 定义 和 控制 系统 中 命名 用 户 对 命名 客体 的 访问 。 实 施 机 制 〈 如 访问 控 
制 表 ) 允许 命名 用 户 以 用 户 和 《或 ) 用 户 组 的 身份 规定 并 控制 客体 的 共享 ， 阻 止 非 授权 用 
户 读 取 敏感 信息 。 

(2) 可 信 计 算 基 初始 执行 时 ， 首 先 要 求 用 户 标识 自己 的 身份 ， 并 使 用 保护 机 制 〈《 如 口 
令 ) 来 鉴别 用 户 的 身份 ， 阻 止 非 授权 用 户 访问 用 户 身份 鉴别 数据 。 

(3) 可 信 计 算 基 通过 自主 完整 性 策略 ， 阻 止 非 授权 用 户 修改 或 破坏 敏感 信息 。 
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3.2.2 ”系统 审计 保护 级 


与 用 户 自 主 保护 级 相 比 ， 本 级 的 可 信 计 算 基 实施 了 粒度 更 细 的 自主 访问 控制 ， 它 通过 
登录 规程 、 审 计 安全 性 相关 事件 和 隔离 资源 ， 使 用 户 对 自己 的 行为 负责 。 它 增加 了 客体 重 
用 及 安全 审计 方面 的 内 容 ， 并 进一步 增强 了 自主 访问 控制 及 身份 鉴别 机 制 ， 具 体 表现 在 : 

(1) 自主 访问 控制 机 制 根据 用 户 指定 方式 或 默认 方式 阻止 非 授 权 用 户 访问 客体 。 访 问 
控制 的 粒度 是 单个 用 户 。 控 制 访问 权限 扩散 ， 没 有 存 取 权 的 用 户 只 允许 由 授权 用 户 指定 对 
客体 的 访问 权 。 

(2) 通过 为 用 户 提供 唯一 标识 ， 可 信 计 算 基 能 够 使 用 户 对 自己 的 行为 负责 。 可 信 计 算 
基 还 具备 将 身份 标识 与 该 用 户 所 有 可 审计 行为 相关 联 的 能 力 。 

(3) 在 可 信 计 算 基 的 空闲 存储 客体 空间 中 ， 对 客体 初始 指定 、 分 配 或 再 分 配 一 个 主体 
之 前 ， 撤 销 该 客体 所 含 信息 的 所 有 授权 。 当 主体 获得 对 一 个 已 被 释放 的 客体 的 访问 权时 ， 
当前 主体 不 能 获得 原 主体 活动 所 产生 的 任何 信息 。 

(4) 可 信 计 算 基 能 创建 和 维护 受 保护 客体 的 访问 审计 跟踪 记录 ， 并 能 阻止 非 授 权 的 用 
户 对 它 访问 或 破坏 。 可 信 计 算 基 能 记录 下 述 事件 : 使 用 身份 鉴别 机 制 ; 将 客体 引入 用 户 地 
址 空间 (如 打开 文件 、 程 序 初始 化 ); 删除 客体 ， 由 操作 员 、 系 统管 理 员 或 (和 ) 系统 安全 
管理 员 实 施 的 动作 ， 以 及 其 他 与 系统 安全 有 关 的 事件 。 对 于 每 一 个 事件 ， 其 审计 记录 包括 
事件 的 日 期 和 时 间 、 用 户 、 事 件 类 型 、 事 件 是 否 成 功 。 对 于 身份 鉴别 事件 ， 审 计 记录 包含 
的 来 源 (如 终端 标识 符 ); 对 于 客体 引入 用 户 地 址 空间 的 事件 及 客体 删除 事件 , 审计 记录 包 
含 客体 名 。 对 不 能 由 可 信 计 算 基 独 立 分 辨 的 审计 事件 ， 审 计 机 制 提供 审计 记录 接口 ， 可 由 
授权 主体 调用 。 这 些 审计 记录 区 别 于 可 信 计 算 基 独立 分 辨 的 审计 记录 。 

3.2.3 ”安全 标记 保护 级 


本 级 的 可 信 计 算 基 具有 系统 审计 保护 级 的 所 有 功能 。 此 外 , 还 提供 有 关 安 全 策略 模型 、 
数据 标记 及 主体 对 客体 强制 访问 控制 的 非 形式 化 描述 ， 具 有 准确 地 标记 输出 信息 的 能 力 ; 
消除 通过 测试 发 现 的 任何 错误 。 它 增加 了 强制 访问 控制 机 制 ， 具 体 表现 在 : 

(1) 可 信 计 算 基 对 所 有 主体 及 其 所 控制 的 客体 (如 进程 、 文 件 、 段 、 设 备 ) 实施 强制 
访问 控制 ， 为 这 些 主 体 及 客体 指定 敏感 标记 ， 这 些 标 记 是 等 级 分 类 和 非 等 级 类 别 的 组 合 ， 
它们 是 实施 强制 访问 控制 的 依据 。 可 信 计 算 基 支持 两 种 或 两 种 以 上 成 分 组 成 的 安全 级 。 可 
祝 计 算 基 控制 的 所 有 主体 对 客体 的 访问 应 满足 : 仅 当主 体 安全 级 中 的 等 级 分 类 高 于 或 等 于 
客体 安全 级 中 的 等 级 分 类 ， 且 主体 安全 级 中 的 非 等 级 类 别 包含 了 客体 安全 级 中 的 全 部 非 等 
级 类 别 ， 主 体 才能 读 客 体 ; 仅 当主 体 安全 级 中 的 等 级 分 类 低 于 或 等 于 客体 安全 级 中 的 等 级 
分 类 , 且 主体 安全 级 中 的 非 等 级 类 别 包 含 了 客体 安全 级 中 的 非 等 级 类 别 , 主体 才能 写 客体 。 
可 信 计 算 基 使 用 身份 和 鉴别 数据 ， 鉴 别 用 户 的 身份 ， 并 保证 用 户 创建 的 可 信 计 算 基 外 部 主 
体 的 安全 级 和 授权 该 用 户 的 安全 级 。 

(2) 可 信 计 算 基 应 维护 与 主体 及 其 控制 的 存储 客体 〈 如 进程 、 文 件 、 段 、 设 备 ) 相关 
的 敏感 标记 ， 这 些 标记 是 实施 强制 访问 的 基础 。 为 了 输入 未 加 安全 标记 的 数据 ， 可 信 计 算 
基 向 授权 用 户 要 求 并 接受 这 些 数据 的 安全 级 别 ， 且 可 由 可 信 计 算 基 审计 。 

(3) 在 审计 记录 的 内 容 中 ， 对 于 客体 引入 用 户 地 址 空间 的 事件 及 客体 删除 事件 ， 审 计 


记录 包含 客体 名 及 客体 的 安全 级 别 。 此 外 , 可 信 计 算 基 具有 审计 更 改 可 读 输 出 记号 的 能 
(4) 在 网 络 环境 中 ， 使 用 完整 性 敏感 标记 来 确认 信息 在 传送 中 未 受 损 。 


3.2.4 结构 化 保护 级 


本 级 的 可 信 计 算 基 建立 于 一 个 明确 定义 的 形式 化 安全 策略 模型 之 上 ， 它 要 求 将 第 三 级 
系统 中 的 自主 和 强制 访问 控制 扩展 到 所 有 主体 与 客体 。 此 外 ， 还 要 考虑 隐蔽 通道 。 本 级 的 
可 信 计 算 基 必须 结构 化 为 关键 保护 元 素 和 非 关 键 保护 元 素 。 可 信 计 算 基 的 接口 也 必须 明确 
定义 ， 使 其 设计 与 实现 能 经 受 更 充分 的 测试 和 更 完整 的 复审 。 加 强 了 鉴别 机 制 ， 支 持 系统 
管理 员 和 操作 员 的 职能 ， 提 供 可 信 设 施 管理 ， 增 强 了 配置 管理 控制 。 系 统 具 有 相当 的 抗 渗 
透 能 力 。 增 加 的 内 容 主要 表现 在 如 下 几 个 方面 : 

(1) 可 信 计 算 基 对 外 部 主体 能 够 直接 或 间接 访问 的 所 有 资源 〈 如 主体 、 存 储 客体 和 输 
入 输出 资源 ) 实施 强制 访问 控制 。 

(2) 可 信 计 算 基 能 够 审计 利用 隐蔽 存储 信道 时 可 能 被 使 用 的 事件 。 

(3) 系统 开发 者 应 彻底 搜索 隐蔽 存储 信道 ， 并 根据 实际 测量 或 工程 估算 确定 每 一 个 被 
标识 信道 的 最 大 带宽 。 

(4) 对 用 户 的 初始 登录 和 鉴别 ， 可 信 计 算 基 在 它 与 用 户 之 间 提供 可 信 通 信 路 径 。 该 路 
径 上 的 通信 只 能 由 该 用 户 初始 化 。 


3.2.5 访问 验证 保护 级 


本 级 的 可 信 计 算 基 满足 引用 监视 器 需求 ， 引 用 监视 器 仲裁 主体 对 客体 的 全 部 访问 。 引 
用 监视 器 本 身 是 抗 自 改 的 ， 必 须 足 够 小 ， 能 够 分 析 和 测试 。 为 了 满足 引用 监视 器 需求 ， 可 
信 计 算 基 在 其 构造 时 ， 排 除 那些 对 实施 安全 策略 来 说 并 非 必 要 的 代码 ， 在 设计 和 实现 时 ， 
从 系统 工程 角度 将 其 复杂 性 降低 到 最 小 程度 。 支 持 安全 管理 员 职 能 ， 扩 充 审 计 机 制 ， 当 发 
生 与 安全 相关 的 事件 时 发 出 信号 ; 提供 系统 恢复 机 制 。 系 统 具 有 很 高 的 抗 渗透 能 力 。 增 加 
的 内 容 主要 表现 在 如 下 儿 个 方面 : 

(1) 在 审计 方面 ， 可 信 计 算 基 包含 能 够 监控 可 审计 安全 事件 发 生 与 积累 的 机 制 ， 当 超 
过 阔 值 时 ， 能 够 立即 向 安全 管理 员 发 出 报警 。 并 且 ， 如 果 这 些 与 安全 相关 的 事件 继续 发 生 
或 积累 ， 系 统 应 以 最 小 的 代价 中 止 它们 。 

(2) 可 信 路 径 上 的 通信 只 能 由 该 用 户 或 可 信 计 算 基 激活 ， 在 凶 辑 上 与 其 他 路 径 上 的 通 
信 相 隔离 ， 且 能 正确 地 加 以 区 分 。 

(3) 可 信 计 算 基 提供 过 程 和 机 制 ， 保 证 计算 机 信息 系统 失效 或 中 断后 ， 可 以 进行 不 损 
害 任 何 安全 保护 性 能 的 恢复 。 


3.3 ”安全 操作 系统 的 基本 特征 


3.3.1 最 小 特权 原则 


最 小 特权 原则 是 系统 安全 中 基本 的 原则 之 一 。 所 谓 最 小 特权 指 的 是 “在 完成 某 种 操作 
时 所 赋予 网 络 中 每 个 主体 〈 用 户 或 进程 ) 必 不 可 少 的 特权 ”。 最 小 特权 原则 是 指 “ 应 限定 网 
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络 中 每 个 主体 所 必需 的 最 小 特权 ， 确 保 可 能 的 事故 、 错 误 、 网 络 部 件 的 自 改 等 原因 造成 的 
损失 最 小 ”。 

最 小 特权 原则 一 方面 给 予 主体 “ 必 不 可 少 ” 的 特权 ， 这 就 保证 了 所 有 的 主体 都 能 在 所 
赋予 的 特权 之 下 完成 所 需要 完成 的 任务 或 操作 ; 另 一 方面 ， 它 只 给 予 主体 “ 必 不 可 少 ” 的 
特权 ， 这 就 限制 了 每 个 主体 所 能 进行 的 操作 。 

最 小 特权 原则 要 求 每 个 用 户 和 程序 在 操作 时 应 当 使 用 尽 可 能 少 的 特权 ， 而 角色 允许 主 
体 以 参与 某 特定 工作 所 需要 的 最 小 特权 去 进入 系统 。 被 授权 拥有 强力 角色 的 主体 ， 不 需要 
动力 运用 到 其 所 有 的 特权 ,只 有 在 那些 特权 有 实际 需求 时 , 主体 才 去 运用 它们 。 如 此 一 来 ， 
将 可 减少 由 于 不 注意 的 错误 或 是 侵入 者 假装 合法 主体 所 造成 的 损坏 发 生 ， 限 制 了 事故 、 错 
误 或 攻击 带 来 的 危害 。 它 还 减少 了 特权 程序 之 间 潜 在 的 相互 作用 ， 从 而 使 对 特权 无 意 的 、 
没 必要 的 或 不 适当 的 使 用 等 情况 不 太 可 能 发 生 。 这 种 想法 还 可 以 引申 到 程序 内 部 : 只 有 程 
序 中 需要 那些 特权 的 最 小 部 分 才 拥 有 特权 。 


3.3.2 访问 控制 


访问 控制 是 主体 依据 某 些 控制 策略 或 权限 对 自身 或 其 资源 进行 不 同 授权 的 访问 。 访 问 
控制 的 目的 是 为 了 限制 访问 主体 对 访问 客体 的 访问 权限 ， 从 而 使 计算 机 系统 在 合法 范围 内 
使 用 。 访 问 控制 又 可 以 分 为 自主 访问 控制 和 强制 访问 控制 。 

访问 控制 三 要 素 : 

。 主体 (Subject): 可 以 对 其 他 实体 施加 动作 的 主动 实体 ， 如 用 户 、 进 程 、VO 设备 等 。 

。 客体 (Object): 接受 其 他 实体 访问 的 被 动 实体 ， 如 文件 、 共 享 内 存 、 管 道 等 。 

。 控制 策略 (Control Strategy): 主体 对 客体 的 操作 行为 集 和 约束 条 件 集 , 如 访问 矩阵 、 

访问 控制 表 等 。 

访问 控制 是 操作 系统 安全 机 制 的 主要 内 容 ， 也 是 操作 系统 安全 的 核心 。 访 问 控制 的 基 
本 功能 是 允许 授权 用 户 按 照 权 限 对 相关 客体 进行 相应 的 操作 ， 阻 止 非 授 权 用 户 对 相关 客体 
进行 任何 操作 ， 以 此 来 规范 和 控制 系统 内 部 主体 对 客体 的 访问 操作 。 在 系统 中 访问 控制 需 
要 完成 以 下 两 种 任务 : 

(1) 识别 和 确认 访问 系统 的 用 户 。 

(2) 决定 该 用 户 可 以 对 某 一 系统 资源 进行 何 种 类 型 的 访问 。 

1. 自主 访问 控制 

自主 访问 控制 (Discretionary Access Control，DAC) 是 一 种 最 普遍 的 访问 控制 安全 策 
略 ， 其 最 早出 现在 20 世纪 70 年 代 初 期 的 分 时 系统 中 ， 基 本 思想 伴随 着 访问 矩阵 被 提出 ， 
在 目前 流行 的 操作 系统 (如 AIX、HP-UX、Solaris、Windows Server、Linux Server 等 ) 中 
被 广泛 使 用 ， 是 由 客体 的 属 主 对 自己 的 客体 进行 管理 的 一 种 控制 方式 。 这 种 控制 方式 是 自 
由 的 ， 也 就 是 说 ， 由 属 主 自己 决定 是 否 将 自己 的 客体 访问 权 或 部 分 访问 权 授予 其 他 主体 。 
在 自主 访问 控制 下 用 户 可 以 按 自己 的 意愿 ， 有 选择 地 与 其 他 用 户 共享 他 的 文件 。 自 主 访 
问 控制 的 实现 方式 通常 包括 目录 式 访问 控制 模式 、 访 问 控制 表 、 访 问 控制 矩阵 和 面向 过 程 
的 访问 控制 等 方式 。 

自主 访问 控制 是 基于 对 主体 的 识别 来 限制 对 客体 的 访问 ， 这 种 控制 是 自主 的 ， 在 自主 


访问 控制 下 ， 一 个 用 户 可 以 自主 选择 哪些 用 户 能 共享 他 的 文件 。 其 基本 特征 是 用 户 所 创建 
的 文件 的 访问 权限 由 用 户 自己 来 控制 ， 系 统 通 过 设置 的 自主 访问 控制 策略 为 用 户 提供 这 种 
支持 。 也 就 是 说 ， 用 户 在 创建 了 一 个 文件 以 后 ， 其 自身 首先 就 具有 了 对 该 文件 的 一 切 访 问 
操作 权限 ， 同 时 创建 者 用 户 还 可 以 通过 “授权 ”操作 将 这 些 访问 操作 权限 有 选择 地 授予 其 
他 用 户 ， 而 且 这 种 “授权 ”的 权限 也 可 以 通过 称 为 “权限 转移 ”的 操作 授予 其 他 用 户 ， 使 
具有 使 用 “授权 ”操作 的 用 户 授 予 对 该 文件 进行 访问 操作 权限 的 能 力 。 

2. 强制 访问 控制 

强制 访问 控制 (Mandatory Access Control，MAC) 是 “强加 ”给 访问 主体 的 ， 即 系统 
强制 主体 服从 访问 控制 政策 ,强制 访问 控制 的 主要 特征 是 对 所 有 主体 及 其 所 控制 的 客体 (如 
进程 、 文 件 、 段 、 设 备 ) 实施 强制 访问 控制 。 为 这 些 主体 及 客体 指定 敏感 标记 ， 这 些 标记 
是 等 级 分 类 和 非 等 级 类 别 的 组 合 ， 它 们 是 实施 强制 访问 控制 的 依据 。 系 统 通 过 比较 主体 和 
客体 的 敏感 标记 来 决定 一 个 主体 是 否 能 够 访问 某 个 客体 。 用 户 的 程序 不 能 改变 他 自己 及 任 
何其 他 客体 的 敏感 标记 ， 从 而 系统 可 以 防止 特洛伊 木马 的 攻击 。 

强制 访问 控制 一 般 与 自主 访问 控制 结合 使 用 , 并 且 实 施 一 些 附加 的 、 更 强 的 访问 限制 。 
一 个 主体 只 有 通过 了 自主 与 强制 性 访问 限制 检查 后 才能 访问 某 个 客体 。 用 户 可 以 利用 自主 
访问 控制 来 防范 其 他 用 户 对 自己 客体 的 攻击 ， 由 于 用 户 不 能 直接 改变 强制 访问 控制 属性 ， 
因此 强制 访问 控制 提供 了 一 个 不 可 逾越 的 、 更 强 的 安全 保护 层 以 防止 其 他 用 户 偶然 或 故意 
地 滥用 自主 访问 控制 。 

强制 访问 策略 将 每 个 用 户 及 文件 赋予 一 个 访问 级 别 ， 如 最 高 秘密 级 Top Secret，T)、 
秘密 级 (Secret，S)、 机 密级 (Confidential，C) 及 无 级 别 级 (Unclassified，U)。 其 级 别 为 
T>S>C>U， 系 统 根据 主体 和 客体 的 敏感 标记 来 决定 访问 模式 。 访 问 模式 包括 : 

。 下 读 (Read Down): 用 户 级 别 大 于 文件 级 别 的 读 操作 。 

。 上 写 (Wirite Up): 用 户 级 别 小 于 文件 级 别 的 写 操作 。 

。 下 写 (Write Down): 用 户 级 别 等 于 文件 级 别 的 写 操作 。 

。 上 读 (Read Up): 用 户 级 别 小 于 文件 级 别 的 读 操 作 。 


3.3.3 ”安全 审计 功能 


安全 审计 是 识别 与 防止 网 络 攻击 行为 、 追 查 网 络 泄密 行为 的 重要 措施 之 一 。 其 包括 两 
方面 的 内 容 : 一 是 采用 网 络 监控 与 入 侵 防 范 系统 ,识别 网 络 中 的 各 种 违规 操作 与 攻击 行为 ， 
即时 响应 〈 如 报警 ) 并 进行 阻 断 ; 二 是 对 信息 内 容 的 审计 ， 可 以 防止 内 部 机 密 或 敏感 信息 
的 非法 泄露 。 

审计 作为 安全 系统 的 重要 组 成 部 分 ， 在 美国 的 TCSEC 中 对 于 安全 审计 的 定义 是 这 样 
的 : 一 个 安全 系统 中 的 安全 审计 系统 是 对 系统 中 任 一 或 所 有 安全 相关 事件 进行 记录 、 分 析 
和 再 现 的 处 理 系统 。 因 此 ， 在 TCSEC 中 规定 了 对 于 安全 审计 系统 的 一 般 要 求 ， 主 要 包括 
如 下 5 个 方面 : 

(1) 记录 与 再 现 。 要 求 安全 审计 系统 必须 能 够 记录 系统 中 所 有 的 安全 相关 事件 ， 同 时 ， 
如 果 有 必要 ， 应 该 能 够 再 现 产生 系统 某 一 状态 的 主要 行为 。 

(2) 入 侵 检测 。 安 全 审计 系统 应 该 能 够 检查 出 大 多 数 常 见 的 系统 入 侵 的 行为 ， 同 时 ， 
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经 过 适当 的 设计 ， 应 该 能 够 阻止 这 些 入 侵 行为 。 

(3) 记录 入 侵 行为 。 安 全 审计 系统 应 该 记录 所 有 的 入 侵 行为 ,即使 某 次 入 侵 已 经 成 功 ， 
这 也 是 事后 调查 取证 和 系统 恢复 必需 的 。 

(4) 威慑 作用 。 应 该 对 系统 中 具有 的 安全 审计 系统 及 其 性 能 进行 适当 宣传 ， 这 样 可 以 
对 企图 入 侵 者 起 到 威慑 作用 ， 又 可 以 减少 合法 用 户 在 无 意 中 违反 系统 的 安全 策 赂 。 

(5) 系统 本 身 的 安全 性 。 安 全 审计 系统 本 身 的 安全 性 必须 保证 ， 这 包括 两 个 方面 的 内 
容 : 一 是 操作 系统 和 软件 的 安全 性 ; 二 是 审计 数据 的 安全 性 。 一 般 来 说 ， 要 保证 审计 系统 
本 身 的 安全 ， 必 须 与 系统 中 其 他 安全 措施 (如 认证 、 授 权 、 加 密 等 )》 相 配合 。 

另外 ，TCSEC 还 要 求 C2 级 以 上 的 安全 操作 系统 必须 包含 审计 功能 。 我 国 计 算 机 信息 
系统 安全 保护 等 级 划分 准则 (GB 17859 一 1999) 对 安全 审计 也 有 相应 的 要 求 。 审 计 为 系统 
进行 事故 原因 的 查询 、 定 位 、 事 故 发 生前 的 预测 、 报 警 及 事故 发 生 之 后 的 实时 处 理 提供 详 
细 、 可 靠 的 依据 和 支持 ， 以 便 有 违反 系统 安全 规则 的 事件 发 生 后 能 够 有 效 地 追查 事件 发 生 
的 地 点 和 过 程 。 


3.3.4” 安 全域 隔离 功能 


安全 域 是 指 在 其 中 实施 认证 、 授 权 和 访问 控制 的 安全 策略 的 计算 环境 。 当 安装 和 配置 
操作 系统 时 ， 将 创建 称 为 管理 域 的 初始 安全 域 。 安 全 域 理 论 不 仅 为 建设 信息 安全 保障 体系 
提供 基础 ， 而 且 在 风险 评估 中 如 果 能 较 好 地 应 用 安全 域 ， 还 会 起 到 事半功倍 的 作用 。 安 全 
域 可 以 将 一 个 单独 资产 联系 起 来 ， 在 等 级 保护 当中 也 有 比较 好 的 应 用 。 总 之 ， 安 全 域 理论 
是 安全 方面 的 最 佳 实践 ， 对 于 信息 安全 建设 具有 非常 重要 的 指导 意义 。 


3.4 Windows 操作 系统 安全 


从 1998 年 开始 ， 微 软 公 司 平均 每 年 对 自己 的 产品 公布 大 约 70 份 以 上 的 安全 报告 ， 一 
直 在 坚持 不 懈 地 给 入 们 发 现 的 那些 漏洞 打 补丁 。Windows 这 种 操作 系统 之 所 以 安全 风险 最 
高 主要 是 因为 它 的 功能 广泛 和 市 场 占有 率 高 ， 从 NT 3.51 到 Windows 8， 操 作 系 统 的 代码 
差不多 增加 了 儿 十 倍 ， 因 为 版 本 要 更 新 ， 所 以 Windows 系统 上 被 悄悄 激活 的 功能 会 越 来 越 
多 ， 因 此 越 来 越 多 的 漏洞 会 被 人 们 发 现 。 


3.4.1 远程 攻击 Windows 系统 的 途径 


(1) 对 用 户 账户 密码 的 猜测 。Windows 系统 登录 时 主要 的 安全 保护 措施 就 是 密码 ， 通 
过 字典 密码 猜测 和 认证 欺骗 的 方法 都 可 以 实现 对 系统 的 攻击 。 

(2) 系统 的 网 络 服务 。 现 代 工 具 使 得 存在 漏洞 的 网 络 服务 被 攻击 相当 容易 ， 点 击 之 间 
即 可 实现 。 

(3) 软件 客户 端 漏洞 。 诸 如 正 浏览 器 、MSN、Office 和 其 他 客户 端 软件 都 受到 攻击 者 
的 密切 监视 ， 发 现 其 中 的 漏洞 ， 并 伺机 直接 访问 用 户 数据 。 

(4) 设备 驱动 。 攻 击 者 持续 不 断 地 分 析 操 作 系统 上 的 无 线 网 络 接口 ， USB 和 CD-ROM 
等 设备 提交 的 所 有 原始 数据 中 发 现 新 的 攻击 点 。 

例如 ， 如 果 系 统 开 放 了 SMB 服务 ， 入 侵 系统 最 有 效 、 最 简单 的 方法 是 远程 共享 加 载 : 


试 着 连接 一 个 发 现 的 共享 卷 《如 CS$ 共 享 卷 或 PC$)， 尝 试 各 种 用 户 名 /密码 组 合 ， 直 到 找 
出 一 个 能 进入 目标 系统 的 组 合 为 止 。 其 中 很 容易 用 脚本 语言 实现 对 密码 的 猜测 ， 如 在 
Windows 的 命令 窗口 里 用 net use 命令 和 for 语句 编写 一 个 简单 的 循环 就 可 以 进行 自动 化 密 
码 猜测 。 

(5) 针对 密码 猜测 活动 的 防范 措施 。 使 用 网 络 防火 墙 来 限制 对 可 能 存在 漏洞 的 服务 
(如 在 TCP 139 和 445 号 端口 上 的 SMB 服务 ，TCP 1355 上 的 MSRPC 服务 ，TCP 3389 上 
的 TS 服务 ) 的 访问 ; 使 用 Windows 的 主机 防火 墙 (Windows XP 和 更 高 版 本 ) 来 限制 对 
有 关 服 务 的 访问 ;禁用 不 必要 的 服务 〈 尤 其 注意 TCP 139 和 445 号 端口 上 的 SMB 服务 ); 
制订 和 实施 强 口令 字 策 略 ; 设置 一 个 账户 锁定 值 , 并 确保 该 值 已 应 用 于 内 建 的 Administrator 
账户 ， 记 录 账 户 登 录 失败 事件 ， 并 定期 查看 event logs 日 志文 件 。 


3.4.2 ”取得 合法 身份 后 的 攻击 手段 


1 权限 提升 

在 Windows 系统 上 获得 用 户 账户 ,之 后 就 要 获得 Administrator 或 System 账 户 。Windows 
系统 最 伟大 的 黑客 技术 之 一 就 是 所 谓 的 Getadmin 系列 ， 它 是 一 个 针对 Windows NT4 的 重 
要 权限 提升 攻击 工具 , 尽管 相关 漏洞 的 补丁 已 经 发 布 , 该 攻击 所 采用 的 基本 技术 “dl 注入 ” 
仍然 具有 生命 力 。 因 为 Getadmin 必须 在 目标 系统 本 地 以 交换 方式 运行 , 所 以 其 强大 的 功能 
受到 了 局 限 。 

对 于 权限 提升 的 防范 措施 ， 首 先 要 及 时 更 新 补丁 ， 并 且 对 于 存储 私人 信息 的 计算 机 交 
互 登录 权限 做 出 非常 严格 限制 ， 因 为 一 旦 获得 了 这 个 重要 的 立足 点 之 后 ， 这 些 权限 提升 攻 
击 手段 就 非常 容易 实现 了 。 在 Windows 2000 和 更 高 版 本 上 检查 交互 登录 权限 的 方法 是 运 
行 “ 本 地 安全 策略 ”工具 ， 找 到 “本 地 策略 ”下 的 “用 户 权限 分 配 ” 节 点 ， 然 后 检查 “本 
地 登录 ”权限 的 授予 情况 ， 如 图 3.2 所 示 。 
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作为 委 守 人 的 用 咱 方 沪 问 美 大 答 理 入 


图 3.2 检查 “本 地 登录 ”权限 的 授予 情况 


2. 获取 并 破解 密码 
获得 相当 于 Administrator 的 地 位 之 后 ,攻击 者 需要 安装 一 些 攻击 工具 才能 更 近 一 步 地 
控制 用 户 计 算 机 ， 所 以 攻击 者 攻击 系统 之 后 的 活动 之 一 就 是 收集 更 多 的 用 户 名 和 密码 。 针 
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对 Windows XP SP2 及 以 后 的 版 本 ， 攻 击 者 侵入 用 户 计算 机 后 首先 做 的 一 件 事 就 是 关闭 防 
火 墙 ， 因 为 默认 配置 的 系统 防火 墙 能 够 阻挡 很 多 依赖 于 Windows 网 络 辅助 的 工具 制造 的 
入 侵 。 

对 于 密码 破解 攻击 的 防范 措施 :最 简单 的 方法 就 是 选择 高 强度 密码 ,现在 多 数 Windows 
系统 都 默认 使 用 的 安全 规则 一 一 密码 必须 满足 复杂 性 要 求 ， 创 建 和 更 改 用 户 密码 时 要 满足 
以 下 要 求 : 

(1) 不 能 包含 用 户 名 和 用 户 名 字 中 两 个 以 上 的 连贯 字符 。 

(2) 密码 长 度 至 少 要 6 位 。 

(3) 必须 包含 以 下 4 组 符号 中 的 三 组 以 上 : 大 写字 母 (A~Z)、 小 写字 母 (a~z)、 数 
字 (0~9)、 其 他 字符 (如 $、%、&&、*)。 


3.4.3 Windows 安全 功能 


1. Windows 防火 墙 

Windows XP 里 有 一 个 名 为 “ICF 因特网 连接 防火 墙 ”的 组 件 ， 微 软 公司 在 XP 后 续 版 
本 里 对 这 个 防火 墙 做 了 很 多 改进 并 把 它 重新 命名 为 Windows Firewall。 新 名 字 的 防火 墙 提 
供 了 更 好 的 用 户 操作 界面 : 保留 了 Exception( 例 外) 设置 项 ， 可 以 只 允许 “例外 ”的 应 用 
程序 通过 防火 墙 ， 新 增加 了 一 个 Advanced (高 级 ) 选项 卡 ， 用 户 可 以 对 防火 墙 的 各 种 细节 
配置 做 出 调整 。 另 外 ， 现 在 还 可 以 通过 组 策略 去 配置 防火 墙 ， 为 需要 对 很 多 系统 的 防火 墙 
进行 分 布 式 管理 的 系统 管理 员 提 供 了 便捷 。 

2. Windows 安全 中 心 

安全 中 心 可 以 让 用 户 查 看 和 配置 很 多 系统 安全 防护 功能 : 防火墙、 自动 更 新 、 因 特 网 
选项 。 安 全 中 心 的 目标 用 户 是 普通 消费 者 而 并 不 是 IT 专业 人 员 , 这 一 点 可 以 从 它 没有 提供 
“安全 策略 ”和 “证 书 管理 器 ”等 高 级 安全 功能 配置 界面 上 看 出 来 。 

3. Windows 组 策略 

怎样 去 管理 一 个 很 大 的 计算 机 群 组 ? 这 就 需要 组 策略 ， 它 是 功能 非常 强大 的 工具 之 
一 。 所 谓 组 策略 ， 顾 名 思 义 ， 就 是 基于 组 的 策略 。 它 以 Windows 中 的 一 个 MMC 管理 单元 
的 形式 存在 ， 可 以 帮助 系统 管理 员 针 对 整个 计算 机 或 是 特定 用 户 来 设置 多 种 配置 ， 包 括 桌 
面 配置 和 安全 配置 。 例 如 ， 可 以 为 特定 用 户 或 用 户 组 定制 可 用 的 程序 、 桌 面 上 的 内 容 ， 以 
及 “开始 ”菜单 选项 等 ， 也 可 以 在 整个 计算 机 范围 内 创建 特殊 的 桌面 配置 。 简 而 言 之 ， 组 
策略 是 Windows 中 的 一 套 系统 更 改 和 配置 管理 工具 的 集合 。 组 策略 是 修改 注册 表 中 的 配 
置 。 当 然 ， 组 策略 使 用 自己 更 完善 的 管理 组 织 方法 ， 可 以 对 各 种 对 象 中 的 设置 进行 管理 和 
配置 ， 远 比 手工 修改 注册 表 方便 、 灵 活 ， 功 能 也 更 加 强大 。 

组 策略 编辑 器 的 启动 很 简单 ， 只 需 选择 “开始 ”一 “运行 ”命令 ， 在 “运行 ”对 话 框 
中 输入 gpeditmsc， 然 后 单 击 “ 确 定 ” 按 扭 即 可 启动 Windows XP 组 策略 编辑 器 。 
例如 ， 要 启动 Windows 的 文件 保护 功能 ， 只 需 打 开 “ 组 策略 ”窗口 ， 在 左 侧 列表 里 展 
开 “ 计 算 机 配置 ”一 “管理 模板 ”一 “系统 ”一 “Windows 文件 保护 ”节点 ， 在 右 侧 列表 
中 显示 已 有 的 文件 保护 策略 ， 如 图 3.3 所 示 ， 双 击 列表 中 的 某 项 ， 打 开设 置 窗口 。 在 该 窗 
口中 可 设置 “已 启用 ”这 一 项 安全 策略 。 这 样 就 实现 了 Windows 的 文件 保护 功能 。 
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图 33 Windows 文件 保护 


4， 本 地 安全 策略 

Windows 系统 自 带 的 “本 地 安全 策略 ” 
本 机 的 许多 属性 〈 如 用 户 、 密 码 、 审 核 、 用 户 权 限 分 配 等 ) 进行 设置 ， 这 些 设 置 只 
计算 机 的 安全 设置 。 

启用 Windows 的 管理 工具 “本 地 安全 策略 ” 依次 选择 “开始 ”一 “程序 ”一 “管理 
工具 ”一 “本 地 安全 策略 ”命令 ,打开 “本 地 安全 设置 ”窗口 ， 如 图 3.4 所 示 。 主 要 包括 
账户 策略 、 本 地 策略 、 公 钥 策略 、 卫 安全 策略 配置 。 


| 操作 (a) 查看 W || 和 | 白 | 四 | 国 攻 | 办 | 毅 诗 


总 安全 服务 器 (要 求 安 ..， 对 于 所 有 Ip 通讯 ， 总 是 要 
盖 客 户 端 (只 响应 ) 进行 正常 通讯 没有 加 密 )，… 
僵 服 务 器 (请 求 安全 设置) 总 是 用 Kerberos 信任 为 所 .… 


是 一 个 很 不 错 的 系统 安全 管理 工具 ， 它 可 以 对 
影响 本 
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图 3.4 系统 安全 配置 


5. Windows 资源 保护 
Windows 2000 和 XP 开始 新 增 一 项 名 为 “Windows 文件 保护 (WFP)” 的 功能 ， 守 
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保护 由 Windows 安装 程序 安装 的 系统 文件 不 被 覆盖 。 并 且 之 后 在 Windows Vista 版 本 中 做 
了 更 新 ， 增 加 了 重要 的 注册 键 值 和 文件 ， 并 更 名 为 “Windows 资源 保护 (WRP)”。WRP 
有 一 个 弱点 在 于 管理 员 用 于 更 改 被 保护 资源 的 ACL (Access Control List, 访问 控制 列表 )。 
默认 设置 下 ,本 地 管理 员 组 使 用 SeTakeOwnership 权限 并 接管 任何 受 WRP 保护 资源 的 所 有 
权 。 因 此 ， 被 保护 资源 的 访问 权限 可 能 被 拥有 者 任意 更 改 ， 这 些 文件 也 可 能 被 修改 、 替 换 
或 删除 。WRP 并 非 被 用 于 抵御 假 的 系统 管理 员 , 它 的 主要 目的 是 为 了 防止 第 三 方 安装 者 修 
改 对 系统 稳定 性 有 重大 影响 的 受 保护 文件 。 

6. 内 存 保护 : DEP 

微软 公司 的 DEP〈 数 据 执 行 保护 ) 机 制 由 硬件 和 软件 协同 构成 。DEP 机 制 将 在 满足 其 
运行 要 求 的 硬件 上 自动 运行 ， 它 会 把 内 存 中 的 特定 区 域 标注 为 “不 可 执行 区 ”一 一 除非 这 
个 区 域 明确 地 包含 着 可 执行 代码 。 很 明显 ， 这 种 做 法 可 以 防止 绝 大 多 数 堆 栈 型 缓冲 区 溢出 
攻击 。 除 了 依靠 硬件 实现 DEP 机 制 外 ，XP SP2 和 更 高 版 本 还 实现 了 基于 软件 的 DEP 机 制 
去 阻 断 各 种 利用 Windows 异常 处 理 机 制 中 的 漏洞 的 攻击 手段 。Windows 体系 的 SHE 
(Structured Exception Handling， 结 构 化 异常 处 理 ) 机 制 一 直 是 攻击 者 认为 最 方便 的 可 执行 
代码 注入 点 。 


3.4.4 Windows 认证 机 制 


平常 在 使 用 Windows 时 总 是 要 先进 行 登录 。Windows 的 登录 认证 机 制 和 原理 都 是 严格 
复杂 的 ， 理 解 并 掌握 Windows 的 登录 认证 机 制 和 原理 对 用 户 来 说 很 重要 ， 能 增强 对 系统 安 
全 的 认识 ， 并 能 够 有 效 预 防 、 解 决 黑客 和 病毒 的 入 侵 。 

常见 的 Windows 的 几 种 登录 类 型 如 下 。 

1. 交互 式 登录 

交互 式 登 录 是 最 常见 的 登录 类 型 ， 就 是 用 户 通 过 相应 的 用 户 账号 和 密码 在 本 机 进行 登 
录 。 有 人 认为 “交互 式 登录 ”就 是 “本 地 登录 ” 其实 这 是 错误 的 。“ 交 互 式 登录 ”还 包括 
“ 域 账号 登录 ”， 而 “本 地 登录 ” 仅 限 于 “本 地 账号 登录 ”。 这 里 有 必要 提 及 的 是 ， 通 过 终端 
服务 和 远程 桌面 登录 主机 可 以 看 作 “交互 式 登录 ”其 验证 的 原理 是 一 样 的 。 

在 交互 式 登录 时 ， 系 统 会 首先 检验 登录 的 用 户 账号 类 型 ， 是 本 地 用 户 账号 还 是 域 用 户 
账号 ， 再 采用 相应 的 认证 机 制 。 因 为 不 同 的 用 户 账号 类 型 其 处 理 方法 也 不 同 。 

采用 本 地 用 户 账号 登录 ， 系 统 会 通过 存储 在 本 机 SAM 数据 库 中 的 信息 进行 验证 。 所 
以 也 就 是 为 什么 Windows 2000 忘记 Administrator 密码 时 可 以 使 用 删除 SAM 文件 的 方法 来 
解决 。 不 过 对 于 Windows XP 以 后 的 版 本 则 不 可 以 ， 可 能 是 出 于 安全 方面 的 考虑 。 用 本 地 
用 户 账号 登录 后 ， 只 能 访问 到 具有 访问 权限 的 本 地 资源 。 

采用 域 用 户 账号 登录 ， 系 统 则 通过 存储 在 域 控制 器 的 活动 目录 中 的 数据 进行 验证 。 如 
果 该 用 户 账号 有 效 ， 则 登录 后 可 以 访问 到 整个 域 中 具有 访问 权限 的 资源 。 如 果 计算 机 加 入 
域 以 后 ， 登 录 对 话 框 就 会 显示 “登录 到 : ”选项 ， 可 以 从 中 选择 登录 到 域 还 是 登录 到 本 机 。 

2. 网 络 登录 

如 果 计 算 机 加 入 到 工作 组 或 域 ， 当 要 访问 其 他 计算 机 的 资源 时 就 需要 “网 络 登录 ”了 。 
当 要 登录 主机 时 ， 输 入 该 主机 的 用 户 名 和 密码 后 进行 验证 。 这 里 需要 提醒 的 是 ， 输 入 的 用 
户 账号 必须 是 对 方 主机 上 的 ， 而 非 自 己 主 机 上 的 用 户 账号 。 因 为 进行 网 络 登录 时 ， 用 户 账 


号 的 有 效 性 是 由 受 访 主机 进行 的 。 

3. 服务 登录 

服务 登录 是 一 种 特殊 的 登录 方式 。 平 时 ， 系 统 启 动 服 务 和 程序 时 ， 都 是 先 以 某 些 用 户 
账号 进行 登录 后 运行 的 , 这 些 用 户 账号 可 以 是 域 用 户 账号 、 本 地 用 户 账号 或 SYSTEM 账号 。 
采用 不 同 的 用 户 账号 登录 ， 其 对 系统 的 访问 、 控 制 权 限 也 不 同 ， 而 且 用 本 地 用 户 账号 登录 
只 能 访问 具有 访问 权限 的 本 地 资源 ， 不 能 访问 到 其 他 计算 机 上 的 资源 ， 这 点 和 “交互 式 登 
录 ” 类 似 。 

从 任务 管理 器 中 可 以 看 到 ， 系 统 的 进程 所 使 用 的 账号 是 不 同 的 。 当 系统 启动 时 ， 一 些 
基于 Win32 的 服务 会 被 预先 登录 到 系统 上 ， 从 而 实现 对 系统 的 访问 和 控制 。 运 行 
services.msc 可 以 设置 这 些 服务 。 正 是 因为 系统 服务 有 着 举足轻重 的 地 位 ， 它 们 一 般 都 以 
SYSTEM 账号 登录 ， 对 系统 有 绝对 的 控制 权限 ， 所 以 很 多 病毒 和 木马 也 争 着 加 入 到 这 个 账 
号 中 。 除 了 SYSTEM 外 ， 有 些 服务 还 以 Local Service 和 Network Service 这 两 个 账号 登录 。 
而 在 系统 初始 化 后 ， 用 户 运行 的 一 切 程序 都 是 以 用 户 本 身 账 号 登录 的 。 

从 上 面 讲 到 的 原理 不 难看 出 ， 平 时 使 用 计算 机 时 要 以 Users 组 的 用 户 登 录 ， 因 为 即使 
运行 了 病毒 、 木 马 程序 ， 由 于 受到 登录 用 户 账号 相应 的 权限 限制 ， 最 多 也 只 能 破坏 属于 用 
户 本 身 的 资源 ， 而 对 维护 系统 安全 和 稳定 性 的 重要 信息 无 破坏 性 。 

4. 批 处 理 登 录 

批 处 理 登 录 一 般 用 户 很 少 用 到 ， 通 常 被 执行 批 处 理 操作 的 程序 所 使 用 。 在 执行 批 处 理 
登录 时 ， 所 用 账号 要 具有 批 处 理工 作 的 权利 ， 否 则 不 能 进行 登录 。 

为 了 安全 起 见 , 平时 进入 Windows 时 都 要 输入 账号 和 密码 。 而 一 般 都 是 使 用 一 个 固定 
的 账号 登录 的 。 面 对 每 次 烦琐 的 输入 密码 ， 有 的 人 干脆 设置 为 空 密码 或 者 类 似 123 等 弱 口 
令 ， 而 这 些 账 号 也 多 数 为 管理 员 账 号 。 殊 不 知 黑客 用 一 般 的 扫描 工具 ， 很 容易 就 能 扫描 到 
一 段 卫 中 所 有 弱 口 令 的 计算 机 ， 所 以 还 是 建议 要 把 密码 尽量 设置 得 复杂 些 。 

另 一 方面 ， 账 号 和 密码 是 明文 保存 在 注册 表 中 的 ， 所 以 只 要 具有 访问 注册 表 权 限 的 人 
都 可 以 通过 网 络 查 看 。 因 此 ， 如 果 要 设置 登录 ， 最 好 不 要 设置 为 管理 员 账 号 ， 可 以 设置 为 
USERS 组 的 用 户 账号 。 

3.4.5 Windows 文件 系统 安全 


文件 系统 安全 是 操作 系统 安全 的 核心 。Windows 文件 系统 控制 谁 能 访问 信息 及 他 们 能 
做 些 什么 。 即 使 外 层 账号 安全 被 突破 ， 攻 击 者 也 还 必须 击败 文件 系统 根据 文件 拥有 权 和 权 
限 精 心 设置 的 防御 措施 。 当 建立 文件 的 权限 时 ， 必 须 先 确定 文件 系统 格式 为 Windows NT 
文件 系统 (NTFS)， 当 然 也 可 以 使 用 FAT 格式 ， 但 是 并 不 支持 文件 级 的 权限 。 一 旦 实施 了 
NTEFS 的 文件 系统 格式 ， 就 可 通过 Windows 的 资源 管理 器 直接 来 管理 文件 的 安全 。 

NTFS 权限 及 使 用 有 以 下 几 个 原则 : 

(1) 权限 最 大 原则 。 当 一 个 用 户 同时 属于 多 个 组 ， 而 这 些 组 又 有 可 能 被 赋予 了 对 某 种 
资源 的 不 同 访问 权限 ， 则 用 户 对 该 资源 最 终 有 效 权限 是 在 这 些 组 中 最 宽松 的 权限 ， 即 加 权 
权限 ， 将 所 有 的 权限 加 在 一 起 即 为 该 用 户 的 权限 (“完全 控制 ”权限 为 所 有 权限 的 总 和 )。 

(2) 文件 权限 超越 文件 夹 权 限 原 则 。 当 用 户 或 组 对 某 个 文件 夹 及 该 文件 夹 下 的 文件 有 
不 同 的 访问 权限 时 ， 用 户 对 文件 的 最 终 权 限 是 访问 该 文件 的 权限 ， 即 文件 权限 超越 文件 的 
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上 级 文件 夹 的 权限 ， 用 户 访问 该 文件 夹 下 的 文件 不 受 文件 夹 权 限 的 限制 ， 而 只 受 被 赋予 的 
文件 权限 的 限制 。 

(3) 拒绝 权限 超越 其 他 权限 原则 。 当 用 户 对 某 个 资源 有 拒绝 权限 时 ， 该 权限 覆盖 其 他 
任何 权限 ， 即 在 访问 该 资源 的 时 候 只 有 拒绝 权限 是 有 效 的 。 当 有 拒绝 权限 时 权限 最 大 法 则 
无 效 ， 因 此 对 于 拒绝 权限 的 授予 应 该 慎重 考虑 。 

在 同一 个 NTFS 分 区 内 或 不 同 的 NTFS 分 区 之 间 移 动 或 复制 一 个 文件 或 文件 夹 时 ， 该 
文件 或 文件 夹 的 NTFS 权限 会 发 生 不 同 的 变化 。 这 时 NTFS 权限 的 继承 性 就 起 到 了 作用 ， 
关于 NTFS 权限 的 继承 性 有 以 下 几 个 方面 : 

(1) 在 同一 个 NTFS 分 区 内 移动 文件 或 文件 夹 。 在 同一 分 区 内 移动 的 实质 就 是 在 目的 
位 置 将 原 位 置 上 的 文件 或 文件 夹 “ 搬 ”过 来 ， 因 此 文件 和 文件 夹 仍 然 保留 有 在 原 位 置 的 一 
切 NTFS 权限 (准确 地 讲 ， 就 是 该 文件 或 文件 夹 的 权限 不 变 )。 

(2) 在 不 同 NTFS 分 区 之 间 移 动 文件 或 文件 夹 。 在 这 种 情况 下 文件 和 文件 夹 会 继承 目 
的 分 区 中 文件 夹 的 权限 CACL)， 实 质 就 是 在 原 位 置 删除 该 文件 或 文件 夹 ， 并 且 在 目的 位 置 
新 建 该 文件 或 文件 夹 (要 从 NTFS 分 区 中 移动 文件 或 文件 夹 , 操作 者 必须 具有 相应 的 权限 。 
在 原 位置 上 必须 有 “修改 ”的 权限 ， 在 目的 位 置 上 必须 有 “ 写 ” 权 限 )。 

(3) 在 同一 个 NTFS 分 区 内 复制 文件 或 文件 夹 。 在 这 种 情况 下 复制 文件 和 文件 夹 将 继 
承 目 的 位 置 中 文件 夹 的 权限 。 

(4) 在 不 同 NTFS 分 区 之 间 复制 文件 或 文件 夹 。 在 这 种 情况 下 复制 文件 和 文件 夹 将 继 
承 目的 位 置 中 文件 夹 的 权限 ( 当 从 NTEFS 分 区 向 FAT 分 区 中 复制 或 移动 文件 和 文件 夹 都 将 
导致 文件 和 文件 夹 的 权限 丢失 ， 因 为 FAT 分 区 不 支持 NTFS 权限 )。 


3.4.6 Windows 的 加 密 机 制 


加 密 文件 系统 (Encrypting File System，EFS) 是 Windows 2003/XP 以 上 版 本 所 特有 的 
一 个 实用 功能 ， 对 于 NTFS 卷 上 的 文件 和 数据 都 可 以 直接 被 操作 系统 加 密 保 存 ， 在 很 大 程 
度 上 提高 了 数据 的 安全 性 。 

EFS 加 密 是 基于 公 钥 策略 的 。 在 使 用 EFS 加 密 一 个 文件 或 文件 夹 时 ， 系 统 首先 会 生成 
一 个 由 伪 随 机 数组 成 的 文件 密 钥 (File Encryption Key，FEK)， 然 后 将 利用 FEK 和 数据 扩 
展 标 准 义 算法 创建 加 密 后 的 文件 ， 并 把 它 存储 到 硬盘 上 ， 同 时 删除 未 加 密 的 原始 文件 。 随 
后 系统 利用 公 钥 加 密 FEK， 并 把 加 密 后 的 FEK 存储 在 同一 个 加 密 文 件 中 。 而 在 访问 被 加 
密 的 文件 时 ， 系 统 首 先 利 用 当前 用 户 的 私 钥 解 密 FEK， 然 后 利用 FEK 解密 出 文件 。 在 首 
次 使 用 EFS 时 ， 如 果 用 户 还 没有 公 钥 / 私 钥 对 (统称 为 密 钥 )， 则 会 首先 生成 密 钥 ， 然 后 加 
密 数据 。 如 果 登 录 到 了 域 环境 中 ,， 密 钥 的 生成 依赖 于 域 控制 器 ， 否 则 它 就 依赖 于 本 地 机 器 。 

EFS 加 密 有 以 下 两 点 好 处 : 首先 ，EFS 加 密 机 制 和 操作 系统 紧密 结合 ， 因 此 不 必 为 了 
加 密 数 据 安装 额外 的 软件 ， 这 节约 了 使 用 成 本 ; 其 次 ，EFS 加 密 系统 对 用 户 是 透明 的 。 这 
也 就 是 说 ， 如 果 加 密 了 一 些 数据 ， 那 么 对 这 些 数 据 的 访问 将 是 完全 允许 的 ， 并 不 会 受到 任 
何 限制 。 而 其 他 非 授权 用 户 试图 访问 加 密 过 的 数据 时 ， 就 会 收 到 “访问 拒绝 ”的 错误 提示 。 
EFS 加 密 的 用 户 验证 过 程 是 在 登录 Windows 时 进行 的 ， 只 要 登录 到 Windows 就 可 以 打开 
任何 一 个 被 授权 的 加 密 文件 。 

要 使 用 EFS 加 密 ， 首 先 要 保证 操作 系统 符合 要 求 。 目 前 支持 EFS 加 密 的 Windows 操 


作 系统 主要 有 Windows 2000/XP 及 更 新 版 本 的 操作 系统 。 其 次 ，EFS 加 密 只 对 NTFS5 分 
区 上 的 数据 有 效 ( 注 意 , 这 里 提 到 的 NTFS5 分 区 是 指 由 Windows 2003/XP 格式 化 过 的 NTFS 
分 区 ; 而 由 Windows NT 格式 化 的 NTFS 分 区 是 NTFS4 格式 的 ， 虽然 同样 是 NTFS 文件 系 
统 ， 但 它 不 支持 EFS 加 密 )， 无 法 加 密 保 存在 FAT 和 FAT32 分 区 上 的 数据 。 

对 于 想 加 密 的 文件 或 文件 夹 ， 只 需要 用 鼠标 右键 单 击 ， 从 弹出 的 快捷 菜单 中 选择 “ 属 
性 ”命令 ,在 打开 对 话 框 中 的 “常规 ”选项 卡 中 单 击 “高 级 ”按钮 ， 在 弹出 的 “高 级 属性 ” 
对 话 框 中 选中 “加 密 内 容 以 便 保护 数据 ” 复 选 框 ， 然 后 单 击 “ 确 定 ” 按 钮 ， 等 待 片 刻 数据 
就 加 密 好 了 。 如 果 加 密 的 是 一 个 文件 夹 , 系统 还 会 询问 是 把 这 个 加 密 属 性 应 用 到 文件 夹 上 ， 
还 是 文件 夹 及 内 部 的 所 有 子 文件 夹 ， 按 照 实 际 情况 来 操作 即 可 。 解 密 数 据 也 是 很 简单 的 ， 
同样 是 按照 上 面 的 方法 ， 取 消 对 “加 密 内 容 以 便 保 护 数 据 ” 复 选 框 的 勾 选 ， 然 后 单 击 “ 确 
定 ” 按 钮 。 

注意 : 如 果 把 未 加 密 的 文件 复制 到 具有 加 密 属 性 的 文件 夹 中 ， 这 些 文件 将 会 被 自动 加 
密 。 若 是 将 加 密 数据 移出 来 ， 如 果 移 动 到 NTFS 分 区 上 ， 数 据 依旧 保持 加 密 属性 ; 如 果 移 
动 到 FAT 分 区 上 ， 这 些 数据 将 会 被 自动 解密 。 被 EFS 加 密 过 的 数据 不 能 在 Windows 中 直 
接 共 享 。 如果 通过 网 络 传输 经 EFS 加 密 过 的 数据 ， 这些 数据 在 网 络 上 将 会 以 明文 的 形式 传 
输 。NTFS 分 区 上 保存 的 数据 还 可 以 被 压缩 ， 不 过 一 个 文件 不 能 同时 被 压缩 和 加 密 。 最 后 ， 
Windows 的 系统 文件 和 系统 文件 夹 无 法 被 加 密 。 


3.4.7 Windows 备份 与 还 原 


如 果 系 统 的 硬件 或 存储 媒体 发 生 故 障 ,“ 备 份 ”工具 可 以 保护 数据 免 受 意外 的 损失 。 
例如 ， 可 以 使 用 “备份 ”创建 硬盘 中 数据 的 副本 ， 然 后 将 数据 存储 到 其 他 存储 设备 。 备 份 
存储 媒体 既 可 以 是 逻辑 驱动 器 (如 硬盘)、 独 立 的 存储 设备 (如 可 移动 磁盘 )， 也 可 以 是 由 
自动 转换 器 组 织 和 控制 的 整个 磁盘 库 或 磁带 库 。 如 果 硬 盘 上 的 原始 数据 被 意外 删除 或 敢 盖 ， 
或 因为 硬盘 故障 而 不 能 访问 该 数据 ， 那 么 用 户 可 以 十 分 方便 地 从 存档 副本 中 还 原 该 数据 。 
为 了 保护 服务 器 , 应 该 安排 对 所 有 数据 进行 定期 备份 。 数 据 备份 的 类 型 大 致 分 为 以 下 几 种 : 

(1) 副本 备份 。 可 以 复制 所 有 选 定 的 文件 ， 但 不 将 这 些 文件 标记 为 已 经 备份 〈 换 言 之 ， 
不 清除 存档 属性 )。 如 果 要 在 正常 和 增 量 备份 之 间 备 份 文件 , 复制 是 很 有 用 的 ， 因为 它 不 影 
响 其 他 备份 操作 。 

(2) 每 日 备份 。 用 于 复制 执行 每 日 备份 的 当天 修改 过 的 所 有 选 定 文件 。 备 份 的 文件 将 
不 会 标记 为 已 经 备份 〈 换 言 之 ， 不 清除 存档 属性 )。 

(3) 差异 备份 。 用 于 复制 自 上 次 正常 或 增 量 备份 以 来 所 创建 或 更 改 的 文件 。 它 不 将 文 
件 标记 为 已 经 备份 〈 换 言 之 ， 不 清除 存档 属性 )。 如 果 要 执行 正常 备份 和 差异 备份 的 组 合 ， 
则 还 原文 件 和 文件 夹 将 需要 上 次 已 执行 过 正常 备份 和 差异 备份 。 

(4) 增 量 备份 。 仅 备份 自 上 次 正常 或 增 量 备份 以 来 创建 或 更 改 的 文件 。 它 将 文件 标记 
为 已 经 备份 (换言之 , 清除 存档 属性 )。 如 果 将 正常 和 增 量 备份 结合 使 用 ,需要 具有 上 次 的 
正常 备份 集 和 所 有 增 量 备份 集 才能 还 原 数据 。 

(5) 正常 备份 。 用 于 复制 所 有 选 定 的 文件 ， 并 且 在 备份 后 标记 每 个 文件 〈 换 言 之 ， 清 
除 存档 属性 )。 使 用 正常 备份 , 只 需 备 份 文件 或 磁带 的 最 新 副本 就 可 以 还 原 所 有 文件 。 通常 ， 
在 首次 创建 备份 集 时 执行 一 次 正常 备份 。 
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组 合 使 用 正常 备份 和 增 量 备份 来 备份 数据 ， 需 要 的 
存储 空间 最 少 ， 并 且 是 最 快 的 备份 方法 。 然 而 ， 恢 复 文 
件 可 能 比较 耗 时 ， 而 且 比 较 困 难 ， 因 为 备份 集 可 能 存储 
在 不 同 的 磁盘 或 磁带 上 。 

组 合 使 用 正常 备份 和 差异 备份 来 备份 数据 更 加 耗 
时 ， 尤 其 当 数据 经 常 更 改 时 ， 但 是 它 更 容易 还 原 数据 ， 
因为 备份 集 通常 只 存储 在 少量 磁盘 和 磁带 上 。 

Windows 自 带 的 备份 工具 如 图 3.5 所 示 , 具体 备份 方 
法 请 参见 第 13 章 。 图 3.5 备份 和 还 原 工具 


3.5 Android 操作 系统 安全 


Android 是 一 个 开放 的 移动 设备 操作 系统 。 根 据 IDC 2013 年 11 月 份 的 数据 统计 ， 
Android 手机 的 市 场 份额 为 80%。 丰 富 的 Android 应 用 程序 〈 简 称 应 用 ) 极 大 地 方便 了 人 
们 的 生活 ， 同 时 系统 的 安全 性 也 越 来 越 引 起 用 户 的 关注 。Android 应 用 可 以 操作 设备 上 的 
各 种 硬件 、 软 件 ， 以 及 本 地 数据 和 服务 器 数据 ， 并 能 够 访问 网 络 。 因 此 ，Android 操作 系 
统 为 了 保护 数据 、 程 序 、 设 备 、 网 络 等 资源 ， 必 须 为 程序 提供 一 个 安全 的 运行 环境 。 


3.5.1 Android 安全 体系 结构 


操作 系统 的 安全 性 目的 就 是 为 了 保护 移动 设备 软件 、 硬 件 资源 ， 包 括 CPU、 内 存 、 外 

部 设备 、 文 件 系统 和 网 络 等 。Android 系统 为 了 安全 性 ， 提 供 如 下 主要 安全 特征 : 操作 系 
统 严 格 的 分 层 结构 、 应 用 沙 盒 、 安 全 进程 通信 、 授 权 和 签名 等 。Android 作为 开放 平台 ， 
它 的 设计 和 实现 细节 完全 暴露 ， 因 此 对 安全 性 要 求 更 加 严格 ， 设 计时 首先 要 重点 考虑 的 就 
是 平台 结构 设计 问题 ，Android 系统 的 体系 结构 设计 为 多 层 结 构 ， 如 图 3.6 所 示 。 这 种 结构 
在 给 用 户 提供 安全 保护 的 同时 还 保持 了 开放 平台 的 灵活 性 。 


Android 系统 结构 由 4 层 组 成 ， 从 上 到 下 分 别 是 应 用 层 、 
局 肛交 局 |。 应 用 框架 层 、 系 统 运行 类 库 层 和 Linux 内 核 层 。 应 用 层 由 运 
寺 让 让 LEE] 行 在 Android 设备 上 的 所 有 应 用 构成 ， 包 括 预 装 的 系统 应 用 
和 和 用 户 自 己 安 装 的 第 三 方 应 用 。 大 部 分 应 用 是 由 Java 语言 编 


写 并 运行 在 Dalvik 虚拟 机 中 ; 另 一 部 分 应 用 是 通过 C/C++ 语 
图 3.6 Android 操作 系统 分 层 ” 言 编写 的 本 地 应 用 。 不 论 采用 何 种 编程 语言 ， 两 类 应 用 运行 
的 安全 体系 结构 的 安全 环境 相同 ， 都 在 应 用 沙 箱 中 运行 。 应 用 框 如 层 集中 体 

现 Android 系统 的 组 件 设 计 思 想 。 框架 层 由 多 个 系统 服务 组 成 。Android 应 用 由 若干 个 组 件 
构成 ， 组 件 和 组 件 之 间 的 通信 是 通过 框架 层 提 供 的 服务 集中 调度 和 传递 消息 实现 的 ， 而 不 
是 组 件 之 间 直 接 进行 的 。 框 架 层 协调 应 用 层 的 应 用 工作 提升 了 系统 的 整体 安全 性 。 类 库 层 
主要 由 类 库 和 Android 运行 时 两 部 分 组 成 。 其 中 类 库 由 一 系列 的 二 进 制 动态 库 构 成 ， 大 部 
分 来 源 于 优秀 的 第 三 方 类 库 , 另 一 部 分 是 系统 原生 类 库 ,通常 使 用 C/C++ 语言 开发 Android 
运行 时 由 Java 核心 类 库 和 Android 虚拟 机 Dalvik 共同 构成 。 Java 核心 类 库 包 括 框架 层 和 应 
用 层 所 用 到 的 基本 Java 库 。Dalvik 是 为 Android 量 身 打造 的 Java 虚拟 机 ， 它 与 标准 Java 


虚拟 机 (JVM) 的 主要 差别 在 于 Dalvik 是 基于 寄存 器 设计 的 ， 而 JVM 是 基于 数据 栈 的 ， 

前 者 能 够 更 快 的 编译 较 大 的 应 用 程序 。Dalvik 允许 在 有 限 的 内 存 中 同时 运行 多 个 虚拟 机 的 
实例 , 每 一 个 Dalvik 应 用 作为 一 个 独立 的 Linux 进程 执行 ,可 防止 在 某 一 虚拟 机 崩溃 时 所 
有 应 用 都 被 关闭 。 最 后 一 层 是 Linux 内 核 层 ， 该 层 提供 的 核心 系统 服务 包括 安全 、 内 存 、 

进程 、 网 络 和 设备 驱动 等 功能 。 


3.5.2 ”Linux 安全 性 


Android 平台 的 基础 是 Linux 内 核 。Linux 操作 系统 经 过 多 年 的 发 展 ， 已 经 成 为 一 个 稳 
定 的 、 安 全 的 被 许多 公司 和 安全 专家 信任 的 安全 平台 。 作 为 移动 平台 的 基础 ，Linux 内 核 
为 Android 提供 了 如 下 安全 功能 : 基于 用 户 授权 的 模式 、 进 程 隔 离 、 可 扩展 的 安全 IPC 和 
移 除 不 必要 的 不 安全 的 内 核 代 码 。 作 为 多 用 户 操作 系统 ，Linux 内 核 提 供 了 相互 隔离 用 户 
资源 的 功能 。 通 过 隔离 功能 ， 一 个 用 户 不 能 使 用 另 一 个 用 户 的 文件 、 内 存 、CPU 和 设备 等 。 


3.5.3 文件 系统 许可 /加 密 


在 Linux 环境 中 ， 文 件 系统 许可 (Permission ) 可 以 保证 一 个 用 户 不 能 修改 或 读 取 另 一 
个 用 户 的 文件 。Android 系统 中 每 个 应 用 都 分 配 一 个 用 户 也， 应 用 作为 一 个 用 户 存在 ， 因 
此 除非 开发 者 明确 指定 某 文件 可 以 供 其 他 应 用 访问 ， 否 则 一 个 应 用 创建 的 文件 其 他 应 用 不 
能 读 取 或 修改 。 文 件 系 统 加 密 功 能 可 以 对 整个 文件 系统 进行 加 密 。 内 核 利 用 dm-crypt 技术 
创建 加 密 文件 系统 。dm-crypt 技术 是 建立 在 Linux 内 核 2.6 版 本 的 device-mapper 特性 之 上 
的 。device-mapper 是 在 实际 的 块 设备 之 上 添加 虚拟 层 ， 以 方便 开发 人 员 实 现 镜 像 、 快 照 、 
级 联 和 加 密 等 处 理 。 为 了 防止 系统 口令 攻击 ， 例 如 通过 彩虹 表 彩 虹 表 就 是 将 各 种 可 能 的 
数字 、 字 母 组 合 的 哈 希 值 预 先 计 算 好 ， 通 过 查 表 的 方式 快速 匹配 ， 提 高 破解 速度 ) 或 暴力 
破解 等 方法 ， 口 令 采 用 SHA1 加 密 算法 进行 保存 。 为 了 防止 口令 字典 攻击 ， 系 统 提 供 口 令 
复杂 性 规则 ， 规 则 由 设备 管理 员 制 定 ， 由 操作 系统 实施 。 


3.5.4 Android 应 用 安全 


Android 系统 为 移动 设备 提供 了 一 个 开源 的 平台 和 应 用 程序 开发 环境 。 通 常 程 序 开发 
语言 采用 Java， 并 运行 在 Dalvik 虚拟 机 中 ， 对 于 游戏 等 性 能 要 求 较 高 的 程序 也 可 以 采用 
CC++ 编 写 。 程 序 安装 包 以 .apk 为 扩展 名 。 一 个 应 用 程序 通常 由 配置 文件 
(AndroidManifest.xml)、 活动 (Activity)、 服 务 (Service)、 广播 接 收 器 (Broadcast Receiver) 
等 组 成 。 

1. Android 权限 模式 

所 有 的 应 用 程序 都 运行 在 应 用 沙 合 中， 默认 情况 下 ， 应 用 只 能 存 取 受 限 的 系统 资源 。 
这 种 受 限 机 制 的 实现 方式 有 多 种 ， 包 括 不 提供 获取 敏感 功能 的 API 函数 、 采 用 角色 分 离 技 
术 和 采用 权限 模式 。 权 限 模式 最 常用 ， 通 过 这 种 方式 把 用 于 存 取 敏 感 资源 的 API 函数 只 授 
权 给 值得 信任 的 应 用 程序 ， 这 些 函 数 主要 涉及 的 功能 包括 摄像 头 、GPS、 蓝 牙 、 电 话 、 短 
信 、 网 络 等 。 应 用 程序 为 了 能 够 存 取 这 些 敏 感 资源 ， 必 须 在 它 的 配置 文件 中 声明 存 取 所 需 
资源 的 能 力 。 当 用 户 安 装 这 种 程序 时 ， 系 统 会 显示 对 话 框 提示 程序 需要 的 权限 并 询问 用 户 
是 否 需 要 继续 安装 。 如 果 用 户 继续 安装 ， 系 统 就 把 这 些 权限 授予 对 应 的 程序 。 安 装 过 程 中 ， 
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针对 用 户 只 想 授权 其 中 的 某 些 权限 的 情况 系统 是 不 支持 的 。 安装 完毕 后 , 用 户 可 以 通过 “ 系 
统 设 置 ”功能 允许 或 拒绝 某 些 权限 。 对 于 系统 自 带 的 应 用 程序 ， 系 统 不 会 提示 请 求 用 户 授 
权 。 如 果 程 序 的 配置 文件 中 没有 指定 受 保护 资源 的 授权 ， 但 程序 中 调用 了 资源 对 应 的 API 
函数 ， 则 系统 抛 出 安全 异常 。 程 序 的 配置 文件 中 还 可 以 定义 安全 级 别 (Protection Level) 
属性 ， 这 个 属性 告诉 系统 其 他 哪些 应 用 可 以 访问 此 应 用 。 

2. 安全 进程 通信 

尽管 Linux 内 核 提 供 了 多 种 进程 通信 (IPC) 机 制 ， 包 括 管道 、 信 号 、 报 文 、 信 和 号 量 、 
共享 内 存 和 套 接 字 等 ， 但 出 于 安全 性 考虑 ，Android 增加 了 新 的 安全 IPC 机 制 ， 主 要 包括 
Binder、Service、Intent 和 ContentProvider。Binder 是 一 个 轻 量 级 的 远程 过 程 调 用 机 制 ， 它 
可 以 高 效 安全 地 实现 进程 内 和 进程 间 调 用 。Service 运行 在 后 台 并 通过 Binder 向 外 提供 接口 
服务 ， 通 常设 有 可 见 的 用 户 界面 。Intent 是 一 个 简单 的 消息 对 象 ， 此 对 象 表示 想 要 做 某 事 
的 “意向 ”ContentProvider 是 一 个 数据 仓库 ， 通 过 它 可 以 向 外 提供 数据 。 例 如 ， 一 个 程序 
可 以 获取 另 一 个 应 用 通过 ContentProvider 向 外 公布 的 数据 。 在 编写 程序 时 如 果 需 要 进程 通 
信 ， 虽 然 可 以 使 用 Linux 提供 的 传统 的 方式 ， 但 还 是 推荐 使 用 Android 提供 的 安全 IPC 框 
架 ， 这 样 可 以 避免 传统 方式 存在 的 通信 安全 缺陷 。 

3. 应 用 程序 安装 包 签名 

所 有 的 Android 应 用 程序 安装 包 (apk 文 件 ) 必 须 进 行 签名 ,否则 程序 不 能 安装 在 Android 
设备 或 模拟 器 中 。 签 名 的 目的 用 于 标识 程序 作者 、 升 级 应 用 程序 。 当 没有 签名 的 应 用 在 安 
装 时 ， 包 管理 器 就 会 拒绝 安装 。 签 名 的 应 用 在 安装 时 ， 包 管理 器 首先 验证 apk 文件 中 的 签 
名 证 书 是 否 正 确 ,如 果 正 确 ,首先 把 应 用 放置 在 应 用 沙 盒 中 ,然后 系统 为 它 分 配 一 个 UID， 
不 同 的 应 用 有 不 同 的 UID; 如 果 证 书签 名 与 设备 中 其 他 签名 的 应 用 相同 ， 表 示 是 同一 个 应 
用 ， 则 提示 用 户 是 否 用 新 的 应 用 更 新 旧 的 应 用 。 该 签名 证 书 可 以 由 开发 者 自己 设 定 称 之 为 
自 签名 (Self-signed) 证 书 ， 也 可 以 由 第 三 方 的 认证 机 构 授权 。 系 统 提 供 自 签名 证 书 功能 
使 得 开发 者 不 再 需要 借助 外 部 的 帮助 或 授权 即 可 以 自己 进行 签名 。Google 公司 提供 了 完整 
方便 的 签名 工具 为 用 户 开发 提供 便利 。 


课 后 习 题 


一 、 选 择 题 

1. Windows 主机 推荐 使 用 (  ) 格式 。 
A. NIFS B. FAT32 
C. FAT D. Linux 


2. 对 文件 和 对 象 的 审核 ， 错 误 的 一 项 是 ( )。 
A. 文件 和 对 象 访问 的 成 功 和 失败 
B. 用 户 及 组 管理 的 成 功 和 失败 
C. 安全 规则 更 改 的 成 功 和 失败 
D. 文件 名 更 改 的 成 功 和 失败 
3. 不 属于 服务 器 的 安全 措施 的 是 (  )。 
A. 保证 注册 账户 的 时 效 性 


B. 删除 死 账户 


C. 强制 用 户 使 用 不 易 被 破解 的 密码 


D. 所 有 用 户 使 用 一 次 性 密码 
4. 不 属于 数据 备份 类 型 的 是 ( ) 


A. 每 日 备份 B. 差异 备份 
C. 增 量 备份 D. 随机 备份 
5. TCSEC 是 (  ) 国家 标准 。 
A. 英国 B. 意大利 
C. 美国 D. 俄罗斯 
6. 身份 认证 的 含义 是 ( ”) 一 个 用 户 。 
A. 注册 B. 标识 
C. 验证 D. 授权 
7. 口令 机 制 通常 用 于 (  )。 
A. 认证 B. 标识 
C. 注册 D. 授权 
8. 在 生成 系统 账号 时 ， 系 统管 理 员 应 该 分 配给 合法 用 户 一 个 (  )， 用 户 在 第 一 次 
登录 时 应 更 改口 令 。 
A. 唯一 的 口令 B. 登录 的 位 置 


C. 使 用 的 说 明 


D. 系统 的 规则 


9. 信息 安全 评测 标准 CC 是 (  ) 标准 。 


A. 美国 B. 国际 

C. 英国 D. 澳大利亚 
10. 下 面 ( ) 数据 备份 策略 不 是 常用 类 型 。 

A. 完全 备份 B. 增 量 备份 

C. 选择 性 备份 D. 差异 备份 
11. 数据 保密 性 安全 服务 的 基础 是 尖 

A. 数据 完整 性 机 制 B. 数字 签名 机 制 

C. 访问 控制 机 制 D. 加 密 机 制 


12. Windows 系统 的 用 户 账号 有 两 种 基本 类 型 ， 分 别 是 全 局 账号 和 (  ” )。 


A. 本 地 账号 
C. 来 宾 账 号 


B. 域 账号 
D. 局 部 账号 


13. Windows 系统 安装 完成 后 ， 默 认 情况 下 系统 将 产生 两 个 账号 ， 分 别 是 管理 员 账号 


和 ( )。 
人 A， 本 地 账号 

C. 来 宾 账 号 
14. 某 公司 的 工作 时 间 是 上 午 8 点 


要 一 个 半 小 时 ， 下 列 适 合作 为 系统 数据 备份 的 时 间 是 ( ”)。 


A. 上 午 8 点 
BE 下 年 3 总 


B. 域 账号 
D. 局 部 账号 
至 12 点 ， 下 午 1 点 至 5 点 半 ， 每 次 系统 备份 需 


B. 中 午 12 点 第 
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15. 下 面 不 是 UNIX/Linux 操作 系统 的 密码 设置 原则 的 是 ( )。 
A. 密码 最 好 是 英文 字母 、 数 字 、 标 点 符号 、 控 制 字 符 等 的 结合 
B. 不 要 使 用 英文 单词 ， 容 易 遭 到 字典 攻击 
C. 不 要 使 用 自己 、 家 人 、 宠 物 的 名 字 
D. 一 定 要 选择 字符 长 度 为 8 位 的 字符 串 作为 密码 
16. 1999 年 ， 我 国 发 布 第 一 个 信息 安全 等 级 保护 的 国家 标准 GB 17859 一 1999， 提 出 
将 信息 系统 的 安全 等 级 划分 为 ( 。 ) 个 等 级 。 


让 .了 B. 8 
六 水 De 
17. 定期 对 系统 和 数据 进行 备份 ， 在 发 生 灾难 时 进行 恢复 。 该 机 制 是 为 了 满足 信息 安 
全 的 ( ) 属性 。 
A. 真实 性 B. 完整 性 
C. 不 可 否认 性 D. 可 用 性 
二 、 填 空 题 
上 年 ， 欧 共 体 发 布 了 “信息 技术 安全 评价 准则 ”。 年 ， 加 拿 大 发 布 


了 “加 拿 大 可 信 计 算 机 产品 评价 准则 ”。 
2. 计算 机 安全 评价 标准 (TCSEC) 是 计算 机 系统 安全 评估 的 第 一 个 正式 标准 ， 


于 年 12 月 由 美国 国防 部 公布 。 
3. D1 系统 只 为 和 用 户 提供 安全 保护 。 
4. C 类 安全 等 级 可 划分 为 和 两 类 。 


5. 计算 机 系统 安全 评估 的 第 一 个 正式 标准 是 。 
6. 自主 访问 控制 (DAC) 是 一 个 接 入 控制 服务 ， 它 执行 基于 系统 实体 身份 及 系统 资 


源 的 接 入 授权 。 这 包括 在 文件 、 和 __ 中 设置 许可 。 
7. 安全 审计 是 识别 与 防止 、 追 查 的 重要 措施 之 一 。 


8. Cl 系统 的 可 信任 运算 基础 体制 ， 通 过 将 
目的 。 

9. 账号 一 般 被 用 于 在 域 中 或 计算 机 中 没有 固定 账号 的 用 户 临 时 访问 域 或 计 
算 机 时 使 用 的 。 

10. 账号 被 赋予 在 域 中 和 在 计算 机 中 具有 不 受 限制 的 权利 ， 该 账号 被 设计 用 
于 对 本 地 计算 机 或 域 进行 管理 ， 可 以 从 事 创建 其 他 用 户 账号 、 创 建 组 、 实 施 安全 策略 、 管 
理 打印 机 及 分 配 用 户 对 资源 的 访问 权限 等 工作 。 

11. 中 华人 民 共 和 国 国家 标准 GB 17895 一 1999《 计 算 机 信息 系统 安全 保护 等 级 划分 准 
则 》 已 经 正式 颁布 并 使 用 。 该 准则 将 信息 系统 安全 分 为 5 个 等 级 ， 分 别 是 自主 保护 


和 分 开 来 达到 安全 的 


级 、 和 访问 验证 保护 级 。 

12. B2 级 别 的 系统 管理 员 必 须 使 用 一 个 _ 的 安全 策略 模式 作为 系统 
的 可 信任 运算 基础 体制 。 

13. B3 级 别 的 系统 具有 很 强 的 和 

14. 访问 控制 三 要 素 : 主体 、 和 


15. 自主 访问 控制 的 实现 方式 通常 包括 目录 式 访问 控制 模式 、 、 和 


面向 过 程 的 访问 控制 等 方式 。 

16. 组 策略 是 Windows 中 的 一 套 系统 和 管理 工具 的 集合 。 

17. Android 系统 结构 由 4 层 组 成 ， 从 上 到 下 分 别 是 应 用 层 、 应 用 框架 层 、 
和 组成。 

三 、 简 答题 

1. 简 述 TCSEC 中 C1、C2、B1l 级 的 主要 安全 要 求 。 

2. 简 述 审核 策略 、 密 码 策略 和 账户 策略 的 含义 。 这 些 策略 如 何 保护 操作 系统 不 被 入 
侵 ? 如 何 关闭 不 需要 的 端口 和 服务 ? 

3. 计算 机 安全 评价 标准 中 B 类 安全 等 级 都 包括 哪些 内 容 ? 

4. 计算 机 安全 评价 标准 中 A 类 安全 等 级 都 包括 哪些 内 容 ? 

5. 计算 机 信息 系统 安全 保护 等 级 划分 准则 中 将 信息 系统 安全 分 为 几 个 等 级 ? 主要 的 
安全 考核 指标 是 什么 ? 

6. 安全 操作 系统 的 基本 特征 有 哪些 ? 

7. 安全 审计 主要 包括 哪 几 个 方面 的 内 容 ? 

8. 远程 攻击 Windows 系统 的 途径 有 哪些 ? 

9. 取得 合法 身份 后 的 攻击 手段 有 哪些 ? 

10，Windows 安全 功能 有 哪些 ? 

11. 常见 的 Windows 的 登录 类 型 有 哪儿 种 ? 

12. NTFS 权限 及 使 用 原则 有 哪些 ? 

13. NTFS 权限 的 继承 性 有 哪儿 个 方面 的 内 容 ? 

14. 文件 加 密 系统 的 原理 是 什么 ? 

15. 数据 备份 的 类 型 大 致 分 为 哪 几 种 ? 

16. 本 地 安全 策略 由 哪儿 部 分 组 成 ? 
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密码 是 通信 双方 按 约定 的 法 则 进行 信息 特殊 变换 的 一 种 重要 保密 手段 。 依 照 这 些 法 
则 ， 变 明文 为 密 文 ， 称 为 加 密 变 换 ， 变 密 文 为 明文 ， 称 为 解密 变换 。 密 码 在 早期 仅 对 文字 
或 数码 进行 加 、 解 密 变换 ， 随 着 通信 技术 的 发 展 ， 对 语音 、 图 像 、 数 据 等 都 可 实施 加 、 解 
密 变换 。 

密码 学 是 研究 如 何 隐 密 地 传递 信息 的 学 科 。 在 现代 特别 指 对 信息 及 其 传输 的 数学 性 研 
究 ， 常 被 认为 是 数学 和 计算 机 科学 的 分 支 ， 和 信息 论 也 密切 相关 。 著 名 的 密码 学 者 Ron 
Rivest 解释 道 :“ 密 码 学 是 关于 如 何在 敌人 存在 的 环境 中 通信 ”。 从 工程 学 的 角度 来 看 ， 这 
相当 于 密码 学 与 纯 数学 的 异同 。 密 码 学 是 信息 安全 等 相关 议题 (如 认证 、 访 问 控制 等 ) 的 
核心 。 密 码 学 的 首要 目的 是 隐藏 信息 的 涵义 ， 而 不 是 隐藏 信息 的 存在 。 密 码 学 也 促进 了 计 
算 机 科学 的 发 展 ， 特 别 是 在 计算 机 与 网 络 安全 方面 ， 如 访问 控制 与 信息 的 机 密 性 。 密 码 学 
已 被 应 用 在 日 常生 活 的 各 个 方面 ， 这 包括 自动 柜员 机 的 芯片 卡 、 计 算 机 使 用 者 存 取 密 码 、 
电子 商务 等 。 


4.1 密码 学 的 发 展 历 史 


密码 学 是 在 编码 与 破译 的 斗争 实践 中 逐步 发 展 起 来 的 ， 并 随 着 先进 科学 技术 的 应 用 ， 
已 成 为 一 门 综合 性 的 尖端 技术 科学 ， 它 与 语言 学 、 数 学 、 电 子 学 、 声 学 、 信 息 论 、 计 算 机 
科学 等 有 着 广泛 而 密切 的 联系 。 它 的 研究 成 果 ， 特 别 是 各 国政 府 现在 使 用 的 密码 编制 及 破 
译 手段 等 都 具有 高 度 的 机 密 性 。 

进行 明 密 变换 的 法 则 称 为 密码 的 体制 ， 指 示 这 种 变换 的 参数 称 为 密 钥 ， 它 们 是 密码 编 
制 的 重要 组 成 部 分 。 密 码 体制 的 基本 类 型 可 以 分 为 4 种 : 

(1) 错乱 ， 按 照 规 定 的 图 形 和 线路 ， 改 变 明 文字 母 或 数码 等 的 位 置 成 为 密 文 。 

(2) 代替 : 用 一 个 或 多 个 代替 表 将 明文 字母 或 数码 等 代替 为 密 文 。 

(3) 密 本 : 用 预先 编 定 的 字母 或 数字 密码 组 代替 一 定 的 词组 单词 等 变 明 文 为 密 文 。 

(4) 加 乱 : 用 有 限 元 素 组 成 的 一 串 序 列 作为 乱 数 ， 按 规定 的 算法 同 明 文 序列 相 结合 变 
成 密 文 。 

以 上 4 种 密码 体制 既 可 单独 使 用 ， 也 可 混合 使 用 ， 以 编制 出 各 种 复杂 度 很 高 的 实用 
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码 。 
密码 学 根据 其 研究 的 范围 可 分 为 密码 编码 学 和 密码 分 析 学 。 密 码 编码 学 是 研究 密码 体 
制 的 设计 ， 对 信息 进行 编码 实现 隐蔽 信息 的 一 门 学 科 ; 密码 分 析 学 是 研究 如 何 破译 被 加 密 
信息 或 信息 伪造 的 学 科 。 它 们 是 相互 对 立 、 相 互 依存 、 相 互 促进 并 发 展 的 。 密 码 学 的 发 展 
大 致 可 以 分 为 三 个 阶段 : 


第 一 阶段 是 从 几 千 年 前 到 1949 年 ， 这 一 阶段 被 称 为 古典 密码 (以 字符 为 基本 加 密 单 
元 的 密码 )。 第 二 阶段 是 从 1949 一 1975 年 ， 这 一 阶段 主要 进行 的 是 利用 计算 机 技术 实现 密 
码 技术 的 研究 。 第 三 阶段 为 1976 年 至 今 , 这 一 阶段 被 称 为 现代 密码 (以 信息 块 为 基本 加 密 
单元 的 密码 )。 


4.1.1 古典 密码 


在 计算 机 出 现 以 前 ， 密 码 学 的 算法 主要 是 通过 字符 之 间 代替 或 易 位 实现 的 ， 这 些 密码 
体制 被 称 为 古典 密码 ， 其 中 包括 易 位 密码 、 代 替 密码 〈 单 表 代 替 密码 、 多 表 代替 密码 等 )。 
这 些 密码 算法 大 都 十 分 简单 ， 现 在 已 经 很 少 在 实际 应 用 中 使 用 了 。 这 一 时 期 密码 学 还 没有 
成 为 一 门 真正 的 科学 ， 而 是 一 门 艺术 。 密 码 学 专家 常常 是 赁 自己 的 直觉 和 信念 来 进行 密码 
设计 ， 而 对 密码 的 分 析 也 多 基于 密码 分 析 者 〈 即 破译 者 ) 的 直觉 和 经 验 来 进行 的 。 

密码 学 在 公元 前 400 多 年 就 已 经 产生 了 ， 正 如 《破译 者 》 一 书 中 所 说 “人 类 使 用 密码 
的 历史 几乎 与 使 用 文字 的 时 间 一 样 长 ” 密码 学 的 起 源 的 确 要 追溯 到 人 类 刚刚 出 现 , 并 且 尝 
试 去 学 习 如 何 通信 时 ， 为 了 确保 他 们 通信 的 机 密 ， 最 先是 有 意识 地 使 用 一 些 简单 的 方法 来 
加 密 信息 ， 通 过 一 些 象形 文字 (密码 ) 相互 传达 信息 。 接 着 由 于 文字 的 出 现 和 使 有 用， 确保 
通信 的 机 密 性 就 成 为 一 种 艺术 ， 古 代 发 明了 不 少 加 密 信息 和 传达 信息 的 方法 。 例 如 ， 我 国 
古代 的 烽火 就 是 一 种 传递 军情 的 方法 ， 再 如 古代 的 兵 符 就 是 用 来 传达 信息 的 密令 。 就 连 问 
荡 江 湖 的 侠 士 都 有 秘密 的 黑道 行 话 ， 更 何况 是 那些 不 堪 忍 受 压 迫 的 义士 在 秘密 起 义 前 进行 
地 下 联络 的 暗语 ， 这 都 促进 了 密码 学 的 发 展 。 

事实 上 ， 密 码 学 真正 成 为 科学 是 在 19 世纪 末 和 20 世纪 初期 ， 由 于 军事 、 数 学 、 通 信 
等 相关 技术 的 发 展 ， 特 别 是 两 次 世界 大 战 中 对 军事 信息 保密 传递 和 破获 敌 方 信息 的 需求 ， 
密码 学 得 到 了 空前 的 发 展 ， 并 广泛 地 用 于 军事 情报 部 门 的 决策 。 例 如 ,在 希特勒 一 上 人 台 时 ， 
德国 就 试验 并 使 用 了 一 种 命名 为 恩 尼 格 玛 的 密码 机 ， 恩 尼 格 玛 密码 机 能 产生 220 亿 种 不 同 
的 密 钥 组 合 ， 假 如 一 个 人 日 夜 不 停 地 工作 ， 每 分 钟 测试 一 种 密 钥 的 话 ， 需 要 约 4.2 万 年 才 
能 将 所 有 的 密 钥 可 能 组 合 试 完 ， 希 特 勒 完全 相信 了 这 种 密码 机 的 安全 性 。 然 而 ， 英 国 获知 
了 恩 尼 格 玛 密码 机 的 密码 原理 ， 完 成 了 一 部 针对 恩 尼 格 玛 密 码 机 的 绰号 叫 “ 炸 弹 ” 的 密码 
破译 机 ， 每 秒 钟 可 处 理 2000 个 字符 ， 它 几乎 可 以 破译 截获 德国 的 所 有 情报 。 后 来 又 研制 出 
一 种 每 秒 可 处 理 5000 个 字符 的 “巨人 ”型 密码 破译 机 并 投入 使 用 ， 至 此 同盟 国 几乎 掌握 了 
德国 纳粹 的 绝 大 多 数 军事 秘密 和 机 密 ， 而 德国 军 方 却 对 此 一 无 所 知 。 太 平 洋 战争 中 ， 美 军 
成 功 破译 了 日 本 海军 的 密码 ， 读 懂 了 日 本 舰队 发 给 各 级 指挥 官 的 命令 ， 在 中 途 岛 彻底 击 省 
了 日 本 海军 ， 取 得 了 太平 洋 战争 的 决定 性 胜利 。 因 此 ， 可 以 说 密码 学 为 战争 的 胜利 立 了 
大 功 。 

古典 密码 学 主要 有 两 大 基本 方法 : 

(1) 代替 密码 。 就 是 将 明文 的 字符 蔡 换 为 密 文中 的 另 一 种 字符 ， 接 收 者 只 要 对 密 文 做 
反 向 蔡 换 就 可 以 恢复 出 明文 。 

(2) 置换 密码 (又 称 为 易 位 密码 )。 明 文 的 字母 保持 相同 ， 但 顺序 被 打 乱 了 。 

下 面 介绍 几 种 经 典 的 古典 密码 。 

1. 滚 桶 密码 

在 古代 为 了 确保 通信 的 机 密 ， 先 是 有 意识 地 使 用 一 些 简单 的 方法 对 信息 进行 加 密 。 例 
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如 , 斯 巴 达 人 于 公元 前 400 年 应 用 一 根 叫 Scytale 的 棍子 将 信息 进行 加 密 , 然后 在 军官 间 传 
递 秘密 信息 。 送 信人 先 将 一 张 羊皮 条 绕 棍 子 螺旋 形 卷 起 来 (如 图 4.1 所 示 )， 然 后 把 要 写 的 
信息 按 某 种 顺序 写 在 上 面 ， 接 着 打开 羊皮 条 卷 ， 通 过 其 他 渠道 将 信 送 给 收 信人 。 如 果 不 知 
道 棍子 的 宽度 〈 这 里 作为 密 匙 ) 是 不 容易 解密 里 面 的 内 容 的 ， 但 是 收 信人 可 以 根据 事先 和 
写 信 人 的 约定 ， 用 同样 叫 Scytale 的 棍子 将 书信 解密， 就 能 看 到 原始 的 消息 。 


Tp 


图 4.1 Scytale 棍子 


2， 棋盘 密码 

世界 上 最 早 的 棋盘 密码 产生 于 公元 前 二 世纪 ， 是 由 一 位 希腊 人 提出 的 。 首 先 建立 一 张 
表 ， 使 每 一 个 字符 对 应 一 个 数 ， 这 样 每 个 字母 就 对 应 了 由 两 个 数 构成 的 字符 ag、B，a 是 该 
字母 所 在 行 的 标号 ; B 是 列 标号 。 如 c 对 应 13, s 对 应 43 等 。 如 果 接 收 到 密 文 为 43 15 13 45 
42 15 32 15 43 43 11 22 15， 则 对 应 的 明文 即 为 securemessage。 

密码 将 26 个 字母 放 在 5X5 的 方 格 里 ，i、j 放 在 一 个 格子 里 ， 具 体 情况 如 表 4.1 所 示 。 


表 4.1 棋盘 密码 


另 一 个 比较 著名 的 棋盘 密码 是 ADFGX 密码 (如 表 4.2 所 示 )。1918 年 , 第 一 次 世界 大 
战 将 要 结束 时 ， 法 军 截获 了 一 份 德军 电报 ， 电 文中 的 所 有 单词 都 由 A、D、F、G、X 这 5 
个 字母 拼 成 , 因此 被 称 为 ADFGX 密码 ,ADFGX 密码 是 1918 年 3 月 由 德军 上 校 Fritz Nebel 
发 明 的 ， 是 结合 了 Polybius 密码 和 置换 密码 的 双重 加 密 方案 。A、D、F、G、X 即 方 阵 中 
对 应 数字 替换 的 5 个 字母 。 


表 4.2 ADFGX 密码 


~IAITID|I> 
<|x|ls lwlc |x 


假设 现在 需要 发 送 明文 信息 Attack at once， 用 上 面 的 密码 方 阵 填充 后 ， 像 是 这 样 : 
明文 : ATTACKATONCE 


经 过 棋盘 变换 : AF AD AD AF GF DX AF AD DF FX GF XF 
下 一 步 ， 利 用 一 个 移 位 密 钥 加 密 。 假 设 密 钥 是 CARGO， 将 之 写 在 新 格子 的 第 一 列 ， 
再 将 上 一 阶段 的 密码 文 一 列 一 列 写 进 新 方 格 里 (如 表 4.3 所 示 )。 


表 4.3 移 位 密 钥 加 密 表 


最 后 ， 密 钥 按照 字母 表 顺 序 ACGOR 排序 ， 再 按照 此 顺序 依次 抄 下 每 个 字母 下 面 的 整 
列 信息 ， 形 成 新 密 文 如 下 : 

FAXDF ADDDG DGFFF AFAXX AFAFX 

在 实际 应 用 中 ， 移 位 密 钥 通常 有 两 打字 符 那 么 长 ， 且 分 解密 钥 和 移 位 密 钥 都 是 每 天 更 
换 的 。 

1918 年 6 月 ， 再 加 入 一 个 字母 V 扩充 ， 变 成 以 6X6 格 共 36 个 字符 加 密 ， 称 为 
ADFGVX 密码 。 这 使 得 所 有 英文 字母 (不 再 将 1 和 j 视 为 同一 个 字母 ) 及 数字 0 一 9 都 可 混 
合 使 用 。 这 次 增 改 是 因为 以 原来 的 加 密 法 发 送 含 有 大 量 数字 的 简短 信息 有 问题 。 

3. 凯撒 〈Caesar) 密码 

据 记 载 ， 在 罗马 帝国 时 期 ， 凯 撤 大 帝 曾经 设计 过 一 种 简单 的 移 位 密码 用 于 战 时 通信 。 
这 种 加 密 方法 就 是 将 明文 的 字母 按照 字母 顺序 ， 往 后 依次 递 推 相同 的 字母 ， 就 可 以 得 到 加 
密 的 密 文 。 而 解密 的 过 程 正 好 和 加 密 的 过 程 相反 ， 它 是 将 英文 字母 向 前 推移 大 位 。 例 如 ， 
和 5， 则 密 文字 母 与 明文 有 如 下 对 应 关系 : 

abcdefghijklmnopqrstuvwxyz 

FGHIJKLMNOPQRSTUVWXYZABCDE 

于 是 对 应 于 明文 secure message， 可 得 密 文 为 XJHZWJRJXXFLJ。 此 时 , 大 就 是 密 钥 。 


为 了 传送 方便 ， 可 以 将 26 个 字母 一 一 对 应 于 从 0 一 25 的 26 个 整数 。 如 a 对 1、b 对 2…… 
y 对 25、z 对 0。 这样 ， 凯 撒 加 密 变 换 实际 就 是 一 个 同 余 式 : 
Cc 三 m 十 kmod 26 


其 中 ，m 是 明文 字母 对 应 的 数 ，c 是 与 明文 对 应 的 密 文 的 数 。 

随后 ,为 了 提高 凯撒 密码 的 安全 性 ， 人 们 对 凯撒 密码 进行 了 改进 。 选 取 太 5b 作为 两 个 
参数 ， 其 中 要 求 上 与 26 互 素 ， 明 文 与 密 文 的 对 应 规则 为 : 

c 三 km++b mod 26 

可 以 看 出 ， 有 1 就 是 前 面 提 到 的 凯撒 密码 。 这 种 加 密 变 换 是 凯撒 加 密 变换 的 推广 ， 并 且 其 
保密 程度 也 比 凯 撤 密 码 高 。 

以 上 介绍 的 密码 体制 都 属于 单 表 和 置换， 意思 是 一 个 明文 字母 对 应 的 密 文字 母 是 确定 
的 。 根 据 这 个 特点 ， 利 用 频率 分 析 可 以 对 这 样 的 密码 体制 进行 有 效 的 攻击 。 方 法 是 在 大 量 
的 书籍 、 报 刊 和 文章 中 统计 各 个 字母 出 现 的 频率 。 例 如 ，e 出 现 的 次 数 最 多 达到 12.5% 左 
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右 ， 其 次 是 t、a、o、1 等 。 破 译 者 通过 对 密 文 中 各 字母 出 现 频 率 的 分 析 ， 结 合 自然 语言 的 


字母 频率 特征 ， 就 可 以 将 该 密码 体制 破译 。 


鉴于 单 表 置换 密码 体制 具有 这 样 的 攻击 弱点 ， 人 们 自然 就 会 想 办 法 对 其 进行 改进 来 弥 


补 这 个 弱点 ， 增 加 抗 攻击 能 力 。 
4. 栅栏 密码 


栅栏 密码 也 称 为 栅栏 易 位 ， 即 把 将 要 传递 的 信息 中 的 字母 交替 排 成 上 下 两 行 ， 再 


面 一 行 字母 排 在 上 面 一 行 的 后 边 ， 从 而 形成 一 段 密码 。 栅 栏 密码 是 一 种 置换 密码 。 
例如 密 文 : TEOGSDYUTAENNHLNETAMSHVAED 
解密 过 程 : 先 将 密 文 分 为 两 行 
TEOGSDYUTAENN 
HLNETAMSHVAED 
再 按 上 下 、 上 下 …… 的 顺序 组 合成 一 句 话 ; 
THE LONGESTDAY MUST HAVE AN END 
加 密 时 不 一 定 非 用 两 栏 。 例 如 ， 密 文 为 


将 下 


PFEE SESN RETM MFHA IRWE OOIG MEEN NRMA ENET SHAS DCNS IAA IEER 


BRNK FBLE LODI 

去 掉 空格 : 

PFEESESNRETMMFHAIRWEOOIGMEENNRMAENETSHASDCNSIIAAIEERBRNKF 
BLELODI 

共 64 个 字符 ， 以 8 个 字符 为 一 栏 ， 排 列 成 8x8 的 方 阵 〈 凯 撤 方 阵 ) 如 下 : 

P FEBES E S N 

R E TMMF HA 

| 0 0 

ME E NNR MA 

E NE TS HAS 

DCNS I I AA 

I E E RB R N KK 

PF BB 人 :位 


从 上 向 下 竖 着 读 : 


PRIMEDIFFERENCEBETWEENELEMENTSRESMONSIBLEFORHIROSHIMAANDN 


AGASAKI 

插入 空格 : PRIME DIFFERENCE BETWEEN ELEMENTS RESMONSIBLE 
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S. 维 吉 尼 亚 〈Vigenere) 密码 


FOR 


法 国 密码 学 家 维 吉 尼 亚 于 1586 年 提出 一 种 多 表 式 密码 ， 即 一 个 明文 字母 可 以 表示 成 
多 个 密 文 字母 中 的 一 个 。 其 原理 是 这 样 的 : 给 出 密 钥 K=K[1]K2]…Kn]， 若 明文 为 
M=m[1]m[2]…m[n]， 则 对 应 的 密 文 为 C=c[1]c[2]…c[n]。 其 中 ，C[]=(m[i]+k[]) mod 26。 例 
如 ， 若 明文 M 为 data security， 密 钥 二 best， 将 明文 分 解 为 长 度 为 4 的 序列 data secu rity， 
对 每 4 个 字母 ， 用 所 best 加 密 后 得 密 文 为 C=EELT TIUN SMLR。 从 中 可 以 看 出 ， 当 天 为 


一 个 字母 时 就 是 凯撒 密码 。 而 且 容 易 看 出 ,天 越 长 ， 保 密 程 度 就 越 高 ， 当 密 钥 天 取 的 词组 
很 长 时 ， 截 获 者 就 很 难 将 密 文 破解 。 显 然 ， 这 样 的 密码 体制 比 单 表 置换 密码 体制 具有 更 强 
的 抗 攻击 能 力 ， 而 且 其 加 密 、 解 密 均 可 用 所 谓 的 维 吉 尼 亚 方 阵 来 进行 ， 从 而 在 操作 上 简单 
易 行 。 该 密码 曾 被 认为 是 300 年 内 破译 不 了 的 密码 ， 因 而 这 种 密码 在 今天 仍 被 使 用 着 。 

我 国 在 古典 密码 方面 也 有 许多 研究 ， 如 宋代 曾 公 亮 、 丁 度 等 编撰 的 《 武 经 总 要 》”" 字 
验 ” 记 载 , 北宋 前 期 ,在 作战 中 曾 用 一 首 五 言 律诗 的 40 个 汉字 分 别 代表 40 种 情况 或 要 求 ， 
这 种 方式 已 具有 了 密 本 体制 的 特点 。1871 年 ， 由 上 海 大 北 水 线 电 报 公司 选用 6899 个 汉字 ， 
代 以 四 码 数 字 ， 成 为 中 国 最 初 的 商用 明码 本 ， 同 时 也 设计 了 由 明码 本 改编 为 密 本 及 进行 加 
乱 的 方法 。 在 此 基础 上 ， 逐 步 发 展 为 各 种 比较 复杂 的 密码 。 


4.1.2 隐 写 本 


隐 写 术 是 最 为 人 们 所 熟悉 的 古典 加 密 方法 ， 通 常 将 秘密 消息 隐藏 于 其 他 消息 中 ， 使 真 
正 的 秘密 消息 通过 一 份 无 伤 大 雅 的 消息 发 送出 去 ， 它 是 不 让 计划 接收 者 之 外 的 任何 人 知道 
信息 传递 事件 的 一 门 技巧 与 科学 。 要 注意 的 是 ， 隐 写 术 和 一 般 的 密码 术 是 不 同 的 。 密 码 术 
只 是 对 信息 进行 加 密 ， 再 发 送 给 接收 者 。 对 间谍 来 说 ， 密 码 术 也 非常 重要 ， 要 是 被 发 现在 
传递 一 串 谁 也 看 不 懂 的 文字 ， 十 有 八 九 会 被 有 关 部 门 上 村上 。 隐 写 术 则 相对 安全 ， 隐 写 的 信 
息 通 常 被 藏 在 图 片 、 购 物 清单 、 诗 文 等 事物 中 。 如 果 说 密码 术 是 一 个 隐士 ， 那 么 隐 写 术 看 
起 来 就 像 大 街 上 一 个 毫 不 起 眼 的 人 。 换 句 话 说， 密码 术 隐藏 的 是 信息 ， 而 隐 写 术 隐 藏 的 则 
是 传递 信息 的 过 程 ， 这 两 者 常常 结伴 出 现 。 将 信息 加 密 后 ， 再 附 在 图 片 等 载体 上 发 送出 去 ， 
这 样 即使 他 人 碰巧 截获 了 图 片 ， 也 得 费 一 番 工 夫 才 能 将 信息 破解 出 来 。 

隐 写 术 的 由 来 源远流长 ， 早 在 希腊 时 代 隐 写 术 就 有 应 用 了 。 有 一 个 名 叫 Histaiaeus 的 
希腊 人 打算 策划 一 场 反抗 波斯 国王 的 叛乱 ， 他 需要 隐秘 地 传递 信息 。 于 是 他 将 一 名 奴隶 的 
头发 剃 光 ， 在 头皮 上 写 下 信息 ， 等 奴隶 的 头发 重新 长 出 来 时 就 派 他 出 去 送信 ， 对 方 只 需 再 
一 次 剃 光 奴隶 的 头发 就 可 获取 信息 。 除 了 奴隶 的 头皮 外 ， 免 子 的 腹部 也 是 一 个 传递 信息 的 
优良 载体 。 这 个 方法 在 当时 应 该 算是 最 先进 的 加 密 手 段 了 。 不 过 缺点 就 是 要 找 一 个 头发 长 
得 快 的 ， 还 不 能 让 他 洗 头 。 

公元 前 480 年 ， 波 斯 国王 薛 西 斯 一 世 亲 率 30 万 大 军 征战 希腊 。 战 前 ， 一 个 被 流放 的 
希腊 人 Demaratus 想方设法 给 斯 巴 达 报 信 ， 他 使 用 的 是 一 种 书写 板 。 他 去 掉 书 写 板 上 的 蜡 ， 
将 消息 写 在 木板 上 上， 再 用 蜡 覆 盖 。 据 说 是 斯 巴 达 国王 的 妻子 通过 占卜 ， 预 言 出 蜡 的 背后 有 
东西 ， 他 们 得 到 这 块 木板 后 将 蜡 刮 掉 ， 得 知 了 波斯 的 阴谋 ， 从 而 在 温泉 关 布 置 防御 ， 抵 抗 
了 波斯 大 军 的 入 侵 。 温泉 关 之 战 是 人 类 史上 最 残酷 的 战争 之 一 , 在 电影 《斯 巴 达 300 勇士 》 
里 有 详细 描述 。 

传递 隐秘 信息 的 方法 多 不 胜 数 ， 如 文字 游戏 藏 头 许 、 电 影 《 风 声 》 里 那 件 绣 有 莫 斯 密 
码 的 旗袍 等 。 简 单 地 改变 某 些 字母 的 高 度 、 在 特定 字 上 打 十 分 微小 的 孔 、 用 特殊 墨水 标记 
字母 及 改变 行 间距 等 方法 都 曾 被 用 来 传递 这 些 信 息 。 

隐 写 术 可 以 分 为 语言 隐 写 术 和 技术 隐 写 术 两 种 。 

1. 语言 隐 写 术 

语言 隐 写 术 与 密码 编码 学 关系 比较 密切 ， 它 主要 提供 两 种 类 型 的 方法 : 符号 码 和 公开 
代码 。 


倪 码 长 大 


击 丰 中 


风疹 人 委 会 与 合理 ( 谎 二 斤 ) 


符号 码 是 以 可 见 的 方式 ， 如 手写 体 字 或 图 形 隐藏 秘密 的 书写 。 在 书 或 报纸 上 标记 所 选 
择 的 字母 ， 如 用 点 或 短 划 线 ， 这 比 上 述 方法 更 容易 被 人 怀疑 ， 除 非 使 用 显 隐 墨水 ， 但 此 方 
法 易于 实现 。 一 种 变形 的 应 用 是 降低 所 关心 的 字母 ， 使 其 水 平 位 置 略 低 于 其 他 字母 ， 这 种 
降低 几乎 让 人 觉察 不 到 。 

一 份 秘密 的 信件 或 伪装 的 消息 要 通过 公开 信道 传送 ， 需 要 双方 事前 的 约定 ， 也 就 是 需 
要 一 种 公开 代码 。 这 可 能 是 保密 技术 的 最 古老 形式 ， 公 开 文 献 中 经 常 可 以 看 到 。 东 方 和 远 
东 的 商人 和 赌 徒 在 这 方面 有 独到 之 处 ， 他 们 非常 熟练 地 掌握 了 手势 和 表情 的 应 用 。 在 美国 
的 纸牌 骗子 中 较为 盛行 的 方法 有 : 手 拿 一 支 烟 或 用 手 挠 一 下 头 ， 表 示 所 持 的 牌 不 错 ， 一 只 
手 放 在 胸 前 并 且 跷 起 大 拇指 ， 意 思 是 “我 将 赢得 这 局 ， 有 人 愿意 跟 我 吗 ? ”; 右手 手掌 朝 下 
放 在 桌子 上 上， 表示“ 是 ” 手 握 成 源头 表示 “不 ”。 

特定 行业 或 社会 阶层 经 常 使 用 的 语言 往往 被 称 为 行 话 。 一 些 乞丐 、 流 浪 汉 及 地 病 流 谍 
使 用 的 语言 还 被 称 为 黑 话 ， 它 们 是 这 些 社会 群体 的 护身符 。 其 实 这 也 是 利用 了 伪装 ， 伪 装 
的 秘密 因此 也 称 为 专门 隐语 。 

黑社会 犯罪 团伙 使 用 的 语言 特别 具有 隐语 的 特性 ， 法 语 中 黑 话 有 很 多 例子 ， 其 中 有 的 
现在 还 成 了 通俗 用 法 。 例 如 ，Rossignol ( 夜 营 ) 表示 “万 能 钥匙 ?>，Mouche (飞行 ) 表示 
“告密 者 ”等 。 

第 二 次 世界 大 战 中 ， 印 第 安 纳 瓦 约 土著 语言 被 美军 用 作 密码 ， 从 吴宇 森 导 演 的 《 风 语 
者 》 中 能 完 其 一 二 。 所 谓 风 语 者 ， 是 指 美 国 “ 二 战 ” 时 候 特 别 征 募 使 用 的 印第安 纳 瓦 约 通 
信 兵 。 在 第 二 次 世界 大 战 的 太平 洋 战场 上 ， 美 国 海军 军 部 让 北 墨 西 哥 和 亚 历 桑 那 印第安 纳 
瓦 约 族 人 使 用 纳 瓦 约 语 进行 情报 传递 。 纳 瓦 约 语 的 语法 、 音 调 及 词汇 都 极为 独特 ， 不 为 世 
人 所 知 ， 当 时 纳 瓦 约 族 以 外 的 美国 人 中 ， 能 听 懂 这 种 语言 的 也 就 一 二 十 人 。 这 是 密码 学 和 
语言 学 的 成 功 结合 ， 纳 瓦 约 语 密码 成 为 历史 上 从 未 被 破译 的 密码 。 

公开 代码 的 第 二 种 类 型 就 是 利用 虚 码 和 漏 格 进行 隐藏 ， 隐 藏 消息 的 规则 比较 常见 :“ 某 
个 特定 字符 后 的 第 几 个 字符 ”如 空格 后 的 下 一 个 字母 , 更 好 一 点 的 还 有 空格 后 的 第 三 个 字 
母 ， 或 者 标点 符号 后 的 第 三 个 字母 。 

漏 格 方法 可 以 追溯 到 卡尔 达 诺 (Cardano，1550 年 ) 时 代 ， 这 是 一 种 容易 掌握 的 方法 ， 
但 不 足 之 处 是 双方 需要 相同 的 漏 格 ， 特 别 是 战场 上 的 士兵 ， 使 用 时 不 太 方便 。 

藏 头 诗 也 是 语言 隐 写 术 的 一 种 形式 ， 它 有 三 种 形式 : 一 是 首 联 与 中 二 联 六 句 皆 言 所 寓 
之 景 ， 而 不 点 破题 意 ， 直 到 结 联 才 点 出 主题 ;二 是 将 诗句 头 一 字 暗藏 于 末 一 字 中 ; 三 是 将 
所 说 之 事 分 藏 于 诗句 之 首 。 现 在 常见 的 是 第 三 种 ， 每 句 的 第 一 个 字 连 起 来 读 ， 可 以 传达 作 
者 的 某 种 特有 思想 。 同 时 ， 藏 头 诗 是 诗歌 中 一 种 特殊 形式 的 诗 体 ， 它 以 每 句 诗 的 头 一 个 字 
嵌入 要 表达 的 内 容 中 的 一 个 字 。 全 诗 的 每 句 中 头 一 个 字 又 组 成 一 个 完整 的 人 名 、 地 名 、 企 
业 名 或 一 名 祝福 。 藏 头 诗 涵义 深 、 品 位 高 、 价 值 重 ， 可 谓 一 字 千 金 。 

例如 , 《水 游 传 》 中 梁山 为 了 拉 卢 俊 义 入 伙 ,“ 智 多 星 ” 吴 用 和 宋江 便 生 出 一 段 “ 吴 用 
智 取 玉 麒麟 ”的 故事 来 ， 利 用 卢 俊 义 正 为 躲避 “ 血 光 之 灾 ” 的 性 恐 心 理 ， 口 占 四 句 卦 歌 : 
“芦花 从 中 一 扁舟 ， 俊 杰 俄 从 此 地 游 。 义 士 车 能 知 此 理 ， 反 躬 难 逃 可 无 忧 。” 暗 藏 “ 卢 俊 义 
反 ”4 字 ， 广 为 传 播 ， 成 了 官府 治罪 的 证 据 ， 终 于 把 卢 俊 义 “ 副 ” 上 了 梁山 。 

当然 , 藏 头 诗 和 其 他 文学 形式 一 样 ， 如 果 使 用 不 当 也 会 带 来 不 必要 的 麻烦 。2004 年 11 
月 15 日 ， 便 民 眼 镜 城 在 《 迁 安 时 讯 》 报 上 登载 由 自己 提供 广告 词 的 广告 ， 其 内 容 为 :“ 便 


民 诚 信 规 模 大 ， 民 心 所 向 送 光明 。 伟 业 不 亢 又 不 插 ， 大 胆 创新 非 苦 比 。” 广告 词 的 每 句 话 在 
报 上 上 下 排列 , 四 句 的 第 一 字 连 起 来 是 “便民 伟大 ”, 最 后 一 字 连 起 来 是 “大 明 卑 比 (器 )”。 
该 广告 刊载 后 被 大 明 眼 镜 有 限 公 司 告 上 法 庭 。 法 院 审理 认为 ， 便 民 眼 镜 城 公 开 抬 高 自己 贬 
低 他 人 ， 损 害 了 大 明 眼 镜 有 限 公 司 的 名 誉 ， 是 违法 行为 。 鉴 于 被 告 存在 着 主观 故意 过 错 ， 
判决 便民 眼镜 城 在 《 迁 安 时 讯 》 报 上 为 大 明 眼 镜 有 限 公司 恢复 名 誉 ， 并 赔礼 道歉 。 

2. 技术 隐 写 术 

在 传统 的 隐蔽 通信 中 ， 信 和 铀 传 书 、 隐 形 墨 水 、 缩 微 摄影 等 都 曾 是 非常 重要 的 信息 隐藏 
技术 手段 ， 也 不 乏 许 多 成 功 的 应 用 实例 。 例 如 ， 用 隐形 墨水 在 报纸 上 标记 确定 的 字母 实现 
情报 密 传 ， 通 过 在 乐谱 的 确定 位 置 增加 不 明显 的 回声 来 向 间谍 发 送信 息 ; 近代 又 发 明了 很 
多 方法 用 于 隐蔽 通信 的 应 用 技术 ， 包 括 高 分 辨 率 缩微 胶片 、 流 星 余 迹 散射 通信 、 语 义 编码 
等 。 前 儿 种 方法 多 用 于 军事 ， 使 敌手 难以 检测 和 干扰 通信 信号 ， 而 语义 编码 则 是 用 非 文 字 
的 东西 来 表示 文字 消息 内 容 实现 秘密 通信 ,如 把 手表 指针 定位 在 不 同位 置 表示 不 同 的 含义 ， 
或 以 图 画 、 乐 谱 等 表示 确定 的 语义 。 这 些 近代 的 隐 写 技术 在 隐蔽 通信 中 也 发 挥 了 很 重要 的 
作用 。 

随 着 数字 化 技术 的 兴起 与 因特网 的 普及 ， 人 们 开始 用 现代 的 技术 对 原始 的 隐 写 术 进 行 
数字 仿真 ， 这 也 为 隐 写 术 的 发 展 提供 了 另 一 片 广阔 的 天 地 ， 隐 蔽 通信 与 知识 产权 保护 两 大 
应 用 需求 使 信息 隐藏 这 种 古老 艺术 在 当今 数字 时 代 得 以 复兴 。 

2001 年 年 初 ， 美 国 各 大 媒体 ， 包 括 CNN、ABC 及 FOX news 等 相继 报道 本 。 拉 登 巩 
怖 组 织 可 能 用 隐 写 工具 传递 了 与 恐怖 活动 有 关 的 秘密 信息 。 另 有 报道 指出 ， 一 些 著名 网 站 
如 eBay 和 Amazon 等 已 成 为 传播 隐 写 信息 的 渠道 。 目前 Intemet 上 已 经 出 现 了 很 多 隐 写 系 
统 ， 大 部 分 是 业余 的 爱好 者 们 研究 出 来 的 ， 而 其 他 一 些 则 是 公司 的 产品 。 

在 人 们 不 断 增 强 的 信息 安全 需求 的 驱动 下 ， 作 为 隐蔽 通信 、 版 权 保 护 、 证 件 防 伪 等 的 
重要 手段 ， 包 括 隐 写 术 在 内 的 信息 隐藏 技术 得 以 快速 地 发 展 ， 迅 速成 为 国际 的 研究 热点 ， 
其 理论 和 算法 研究 在 世界 各 国 ， 尤 其 是 发 达 国家 都 非常 重视 ， 并 为 此 投入 了 大 量 的 人 力 物 
力 。 国 外 众多 知名 研究 机 构 如 麻 省 理工 学 院 的 多 媒体 实验 室 、 剑 桥 大 学 的 多 媒体 实验 室 、 
IBM 数字 实验 室 、 德 国 国 家 信息 技术 研究 中 心 、 日 本 NEC 等 研究 机 构 都 在 从 事 这 一 领域 
的 研究 .有 关 这 一 学 科 的 论文 也 呈现 了 一 种 几何 级 数 增长 趋势 ,IEEE 分 别 于 1998 年 和 1999 
年 出 版 了 两 个 关于 隐 写 术 和 数字 水 印 方面 的 专集 。 

国家 “863 计划 ”“973 项 目 ” 国家 自然 科学 基金 等 都 对 信息 隐藏 领域 的 研究 有 项 目 
资金 支持 。 国 内 已 有 不 少 研究 机 构 及 大 学 正在 从 事 隐 写 术 和 数字 水 印 方面 的 研究 ， 并 于 
1999 年 年 底 在 北京 电子 技术 应 用 研究 所 召开 了 “第 一 届 全 国信 息 隐 藏 学 术 研 讨 会 
(CIHW)” 至 今 该 研讨 会 已 举办 多 届 。 

对 隐 写 术 而 言 ， 相 对 于 其 他 的 技术 指标 ， 隐 写 术 最 强调 的 就 是 隐蔽 性 ， 其 次 是 容量 。 
人 们 对 隐 写 术 进 行 研 究 的 目标 就 是 找到 更 好 的 能 够 隐藏 更 多 信息 且 不 被 发 觉 的 算法 。 因 此， 
一 个 成 功 的 隐 写 术 算法 首先 应 该 具有 很 高 的 安全 性 ， 同 时 可 以 隐藏 很 多 的 信息 。 

根据 信息 载体 的 不 同 ， 隐 写 术 的 应 用 可 分 为 隐 写 术 在 文本 中 的 应 用 、 隐 写 术 在 图 像 中 
的 应 用 、 隐 写 术 在 音频 中 的 应 用 等 。 
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隐 写 术 在 文本 中 的 应 用 就 是 将 所 传达 的 秘密 信息 嵌入 一 篇 看 似 普通 的 消息 中 ， 从 而 达 
到 信息 隐藏 的 效果 。 随 着 网 络 技术 的 发 展 ， 越 来 越 多 的 网 络 应 用 要 求 对 通信 内 容 加 密 ， 隐 上 
写 术 也 逐渐 应 用 到 网 络 中 的 传输 文本 中 来 。 目 前 基于 文本 的 隐藏 技术 包括 映射 、 词 (词组 ) 
替换 、 字 〈 行 ) 编码 及 字符 特征 编码 等 。 其 中 ， 映 射 的 思想 是 将 待 嵌 入 信息 按 一 定 的 规则 
与 语言 空间 的 元 素 相对 应 ; 词 〈 词 组 ) 替换 是 根据 待 嵌入 信息 及 预先 确定 的 对 应 关系 ， 将 
文档 内 容 中 的 词 ( 词 组 ) 用 其 他 不 影响 意义 表达 的 词 (或 词组 ， 如 同义词 、 近 义 词 等 ) 替 
换 ， 行 编码 、 字 编码 分 别 是 通过 行 的 垂直 移动 和 字 的 水 平移 动 来 表达 信息 ; 字符 特征 编码 
利用 的 是 字符 特征 信息 ， 如 对 b、d、h、k 等 字符 的 垂直 线 的 长 度 稍 作 修 改 ， 达 到 隐藏 的 目 
的 。 最 近 业 界 又 提出 了 基于 标点 的 隐 写 技术 ， 即 在 标点 全 角 和 半角 之 分 的 基础 上 ， 用 0 代 
表 全 角 标 点 ，1 代表 半角 标点 ， 将 所 传达 的 信息 用 其 表示 。 

隐 写 术 在 图 像 中 的 应 用 就 是 利用 图 像 这 种 载体 源 本 身 所 具有 的 数据 元 余 ， 以 及 人 类 感 
官 器 官 的 生理 、 心 理 特性 ， 将 秘密 消息 以 一 定 的 编码 或 加 密 方式 嵌入 到 公开 的 图 像 中 ， 对 
载 有 秘密 信息 的 图 像 进 行 传输 ， 以 达到 隐蔽 通信 的 目的 。 随 着 数字 图 像 的 广泛 使 用 ， 以 载 
体 为 数字 图 像 的 情况 不 断 增 多 。 在 Intemet 上 的 每 个 网 站 中 都 存在 着 数字 图 像 ， 所 以 数字 
图 像 也 成 为 最 有 效 的 隐藏 信息 的 载体 。 基 于 图 像 中 的 信息 隐藏 算法 也 层出不穷 ， 包 括 时 空 
域 算法 、 变换 域 算法 和 压缩 域 算 法 , 现在 又 出 现 了 频率 域 的 算法 。 时 空域 算法 是 将 秘密 信 
息 杠 入 载体 的 时 间或 空间 域 中 ， 其 特点 是 易于 实现 和 隐藏 容 量 大 ， 但 其 稳健 性 较 差 ， 适 用 
于 隐蔽 通信 。 变 换 域 算法 是 将 秘密 消息 嵌入 数字 作品 的 某 一 变换 域 中 。 压 缩 域 算法 主要 应 
用 于 JPEG 图 像 的 压缩 隐 写 。 

隐 写 术 在 音频 中 的 应 用 就 是 利用 音频 中 载体 源 本 身 所 具有 的 数据 元 余 ， 对 加 密 数据 进 
行 编码 或 加 密 嵌 入 到 公开 的 音频 文件 中 , 然后 进行 传输 ， 达 到 隐蔽 通信 的 目的 。 众 所 周知 ， 
人 们 对 于 相同 频率 的 音频 的 敏感 度 有 很 大 的 差异 ， 所 以 利用 隐 写 术 在 音频 中 编码 不 是 那么 
容易 。 人 们 的 听觉 系统 中 存在 一 个 听觉 阔 值 电 平 ， 低 于 这 个 电 乎 的 信号 就 听 不 到 。 听 觉 阔 
值 的 大 小 随 声音 频率 的 改变 而 改变 , 每 个 人 的 听觉 阔 值 也 不 同 , 大 多 数 人 的 听觉 系统 对 2 一 
5kHz 之 间 的 声音 最 敏感 。 一 个 人 是 否 能 听 到 声音 取决 于 声音 的 频率 及 声音 的 强度 是 否 大 于 
频率 对 应 的 听觉 阔 值 ， 因 为 人 类 听觉 系统 是 一 个 动态 系统 。 根 据 这 一 特性 ， 将 秘密 信息 隐 
藏 于 较 弱 的 音频 中 ， 也 就 是 说 在 某 一 强度 之 上 的 声音 人 能 听 到 ， 这 一 强度 之 下 的 声音 人 就 
不 能 听 到 。 因 此 可 以 将 相应 的 时 间 轴 上 的 信号 转换 到 音频 轴 上 ， 计 算出 各 频率 的 强度 ， 然 
后 将 秘密 信息 嵌入 到 比 这 些 频 率 强度 低 的 各 频率 中 去 。 

微 博 上 传 照 片 也 会 暗藏 “ 隐 写 ”信息 。 你 是 否 已 习惯 随手 将 好 玩 的 照片 上 传 到 微 博 ? 
这 个 习惯 并 不 好 。 因 为 用 数码 相机 或 手机 拍 下 的 任何 一 张 照片 ， 其 实 也 像 一 张 用 隐 写 术 处 
理 过 的 图 片 一 样 ， 本 身 会 携带 大 量 信息 ， 也 就 是 通常 所 说 的 EXIF 信息 〈 可 交换 图 像 文件 
数据 )。 这 些 数据 中 包含 了 相机 型 号 、 快 门 速度 等 诸多 摄像 参数 ， 有 的 还 记录 了 照片 拍摄 日 
期 。 不 止 这 些 ， 尤 其 是 iPhone 和 Android 手机 所 配 的 摄像 头 还 会 存储 照片 拍摄 地 点 的 GPS 
信息 。 这 就 意味 着 ， 赁 着 这 张 照片 ， 任 何人 都 可 以 轻而易举 地 获得 你 的 住址 和 电话 。 

近 几 年 来 ， 隐 写 术 领域 已 经 成 为 信息 安全 的 焦点 。 每 个 Web 站 点 都 依赖 多 媒体 ， 如 音 
频 、 视 频 和 图 像 。 隐 写 术 这 项 技术 可 以 将 秘密 信息 嵌入 到 数字 媒介 中 而 不 损坏 它 的 载体 的 
质量 。 第 三 方 既 觉察 不 到 秘密 信息 的 存在 ， 也 不 知道 存在 秘密 信息 。 因 此 密 钥 、 数 字 签 名 
和 私密 信息 都 可 以 在 开放 的 环境 (如 Intemet) 中 安全 的 传送 。 所 以 ， 在 这 个 信息 时 代 ， 不 


是 只 有 间谍 或 者 反 间谍 才 需 要 了 解 隐 写 术 ， 计 算 机 使 用 者 最 起 码 也 该 了 解 一 下 ， 如 何 才 能 
保护 自己 的 隐私 。 


4.1.3” 转 轮 密码 机 


20 世纪 20 年 代 ， 随 着 机 械 和 机 电 技 术 的 成 熟 ， 以 及 电报 和 无 线 电 需求 的 出 现 ， 引 起 
了 密码 设备 方面 的 一 尔 转 轮 机 ，Rotor)， 转 轮机 的 出 现 
是 密码 学 发 展 的 重要 标志 之 一 

在 第 二 次 世界 大 战 中 ， 转 轮 密码 机 的 使 用 相当 普遍 。 它 主要 利用 机 械 运 动 和 简单 电子 
线路 ， 有 一 个 键盘 和 若干 转 轮 ， 实 际 上 它 是 维 吉 尼 亚 密码 的 一 种 实现 。 每 个 转 轮 由 绝缘 的 
圆 形 胶 板 组 成 ， 胶 板 正 反 两 面 边 缘 线 上 有 爹 属 凸 块 ， 每 个 金属 凸 块 上 标 有 字母 ， 字 母 的 位 
午 相 互 对 齐 。 胶 板 正 反 两 面 的 字母 用 金属 连 线 接 通 ， 形 成 一 个 置换 运算 。 不 同 的 转 轮 固定 
在 一 个 同心 轴 上 ， 它 们 可 以 独立 自由 转动 ， 每 个 转 轮 可 选取 一 定 的 转动 速度 。 例 如 ， 一 
转 轮 可 能 被 导线 连通 以 完成 用 代替 A， 用 癌 代 符 B， 用 工 代 替 C 等 。 

为 了 防止 密码 分 析 ， 有 的 转 轮 密 码 机 还 在 每 个 转 轮 上 设 定 不 同 的 位 置 号 ， 使 得 转 轮 的 
位 置 、 转 轮 的 数量 、 转 轮 上 的 齿轮 结合 起 来 ， 增 大 机 器 的 周期 。 

最 著名 的 转 轮 密码 机 是 德国 人 舍 尔 比 乌 斯 设计 的 恩 尼 格 玛 密码 机 和 瑞典 人 哈 格 林 设 
计 的 哈 格 林 密码 机 美国 军 方 称 为 M-209)。 

1， 恩 尼 格 玛 密码 机 

德国 人 使 用 的 恩 尼 格 玛 密码 机 共有 5 个 转 轮 ， 可 选择 三 个 使 用 。 如 图 4.2 所 示 ， 转 轮 
机 中 设计 的 一 块 插 板 及 一 个 反射 轮 可 对 一 个 明文 字母 操作 两 次 。 另 一 个 特点 是 转 轮 由 齿轮 
控制 ， 以 形成 不 规则 进位 。 

恩 尼 格 玛 密 码 机 的 加 密 原理 是 键盘 一 共有 26 个 键 ， 键 盘 排列 与 广 为 使 用 的 计算 机 键 
盘 基 本 一 样 ， 只 不 过 为 了 使 通信 尽量 地 短 和 难以 破译 ， 空 格 、 数 字 和 标点 符号 都 被 取消 ， 
而 只 有 字母 键 。 键盘 上 方 是 显示 器 ， 这 不 是 普通 意义 上 的 屏幕 显示 器 ， 而 是 标示 了 同样 字 
母 的 26 个 小 灯泡 ， 当 键盘 上 的 某 个 键 被 按 下 时 ,和 这 个 字母 被 加 密 后 的 密 文 字母 所 对 应 的 
小 灯泡 就 亮 起 来 ， 这 是 一 种 近乎 原始 的 “显示 ” 在 显示 器 的 上 方 是 三 个 直径 为 6cm 的 转 
子 ， 它 们 的 主要 部 分 隐藏 在 面板 下 ， 转 子 才 是 恩 尼 格 玛 密码 机 最 核心 关键 的 部 分 。 如 果 转 
子 的 作用 仅仅 是 把 一 个 字母 换 成 另 一 个 字母 ， 那 就 是 密码 学 中 所 说 的 “简单 替换 密码 ”% 而 
在 公元 9 世纪 , 阿拉 伯 的 密码 破译 专家 就 已 经 
能 够 娴熟 地 运用 统计 字母 出 现 频率 的 方法 来 
破译 简单 替换 密码 ,柯南 .首尔 在 他 著名 的 福 
尔 摩 斯 探索 《跳舞 的 小 人 》 里 就 非常 详细 地 叙 
述 了 福尔摩斯 使 用 频率 统计 法 破译 跳舞 人 形 
密码 (也 就 是 简单 替换 密码 ) 的 过 程 。 之 所 以 
叫 “转子 ” 是 因为 它 会 转 ， 这 就 是 关键 。 当 
按 下 键盘 上 的 一 个 字母 键 , 相应 加 密 后 的 字母 
在 显示 器 上 通过 灯泡 闪 亮 来 显示 , 而 转子 就 自 
动 地 转动 一 个 字母 的 位 置 。 举例 来 说 ， 当 第 一 
次 输入 A, 灯泡 B 亮 , 转子 转动 一 格 , 各 字母 Ep ENIGMA 
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所 对 应 的 密码 就 改变 了 。 第 二 次 再 输入 A 时 ， 它 所 对 应 的 字母 就 可 能 变 成 了 C。 同 样 地 ， 
第 三 次 输入 A 时 ， 又 可 能 是 灯泡 D 亮 了 。 这 就 是 “ 恩 尼 格 玛 ” 难 以 被 破译 的 关键 所 在 ， 这 
不 是 一 种 简单 替换 密码 。 同 一 个 字母 在 明文 的 不 同位 置 时 ， 可 以 被 不 同 的 字母 蔡 换 ， 而 密 
文中 不 同位 置 的 同一 个 字母 又 可 以 代表 明文 中 的 不 同 字 母 ， 字 母 频率 分 析 法 在 这 里 丝毫 无 
用 武之 地 了 。 这 种 加 密 方 式 在 密码 学 上 被 称 为 “复式 替换 密码 ”。 

但 是 如 果 连 续 输入 26 个 字母 ， 转 子 就 会 整整 转 一 圈 ， 回 到 原始 的 方向 上 ， 这 时 编码 
就 和 最 初 重复 了 。 而 在 加 密 过 程 中 ， 重 复 的 现象 很 可 能 就 是 最 大 的 破绽 ， 因 为 这 可 以 使 破 
译 密码 的 人 从 中 发 现 规律 。 于 是 “ 恩 尼 格 玛 ” 又 增加 了 一 个 转子 ， 当 第 一 个 转子 转动 整整 
一 圈 以 后 ， 它 上 面 有 一 个 齿轮 拨 动 第 二 个 转子 ， 使 得 它 的 方向 转动 一 个 字母 的 位 置 。 假 设 
第 一 个 转子 已 经 整整 转 了 一 圈 ， 按 A 键 时 显示 器 上 D 灯泡 亮 ， 当 放 开 A 键 时 第 一 个 转子 
上 的 齿轮 也 带动 第 二 个 转子 同时 转动 一 格 ， 于 是 第 二 次 输入 A 时 ， 加 密 的 字母 可 能 为 E 
再 次 放 开 A 键 时 , 就 只 有 第 一 个 转子 转动 了 ， 于 是 第 三 次 输入 A 时 , 与 之 相对 应 的 字母 就 
可 能 是 F 了。 
因此 ， 只 有 在 26X26=676 个 字母 后 才 会 重复 原来 的 编码 。 而 事实 上 “ 恩 尼 格 玛 ”有 
三 个 转子 (“二 战 ” 后 期 德国 海军 使 用 的 “ 恩 尼 格 玛 ” 甚 至 有 4 个 转子 )， 那 么 重复 的 概率 
就 达到 26X26X26=17 576 个 字母 之 后 。 在 此 基础 上 ， 谢 尔 比 乌 斯 十 分 巧妙 地 在 三 个 转子 
的 一 端 加 上 了 一 个 反射 器 ， 把 键盘 和 显示 器 中 的 相同 字母 用 电线 连 在 一 起 。 反 射 器 和 转子 
一 样 ， 把 某 一 个 字母 连 在 另 一 个 字母 上 ， 但 是 它 并 不 转动 。 乍 一 看 这 么 一 个 固定 的 反射 器 
好 像 没 什么 用 处 ， 它 并 不 增加 可 以 使 用 的 编码 数目 ， 但 是 把 它 和 解码 联系 起 来 就 会 看 出 这 
种 设计 的 别 具 匠 心 了 。 当 一 个 键 被 按 下 时 ， 信 号 不 是 直接 从 键盘 传 到 显示 器 ， 而 是 首先 通 
过 三 个 转子 连 成 的 一 条 线路 ， 然 后 经 过 反射 器 再 回 到 三 个 转子 ， 通 过 另 一 条 线路 再 到 达 显 
示 器 上 ， 例 如 ， 图 4.2 中 A 键 被 按 下 时 ， 亮 的 是 D 灯泡 。 如 果 这 时 按 的 不 是 A 键 而 是 D 
键 ， 那 么 信号 恰好 按照 上 面 A 键 被 按 下 时 的 相反 方向 通行 ， 最 后 到 达 A 灯泡 。 换 句 话说 ， 
在 这 种 设计 下 ， 反 射 器 虽然 没有 像 转 子 那样 增加 不 重复 的 方向 ， 但 是 它 可 以 使 解码 过 程 完 
全 重 现 编码 过 程 。 

使 用 “ 恩 尼 格 玛 ”通信 时 ， 发 信人 首先 要 调节 三 个 转子 的 方向 (而 这 个 转子 的 初始 方 
向 就 是 密 匙 ， 是 收发 双方 必须 预先 约定 好 的 )， 然 后 依次 输入 明文 ， 并 把 显示 器 上 灯泡 内 亮 
的 字母 依次 记 下 来 ， 最 后 把 记录 下 的 内 亮 字母 按照 顺序 用 正常 的 电报 方式 发 送出 去 。 收 信 
方 收 到 电文 后 ， 只 要 也 使 用 一 台 “ 恩 尼 格 玛 ” 按照 原来 的 约定 把 转子 的 方向 调整 到 和 发 信 
方 相同 的 初始 方向 上 ， 然 后 依次 输入 收 到 的 密 文 ， 显 示 器 上 自动 闪 亮 的 字母 就 是 明文 了 。 
加 密 和 解密 的 过 程 完全 一 样 ， 这 就 是 反射 器 的 作用 ， 同 时 反射 器 的 一 个 副作用 就 是 一 个 字 
母 永远 也 不 会 被 加 密 成 它 自己 ， 因 为 反射 器 中 一 个 字母 总 是 被 连接 到 另 一 个 不 同 的 字母 。 

“ 恩 尼 格 玛 ” 加 密 的 关键 就 在 于 转子 的 初始 方向 。 当 然 ， 如 果 敌 人 收 到 了 完整 的 密 文 ， 
还 是 可 以 通过 不 断 试验 转动 转子 方向 来 找到 这 个 密 匙 ， 特 别 是 如 果 破译 者 同时 使 用 许多 台 
机 器 进行 这 项 工作 ， 那 么 所 需要 的 时 间 就 会 大 大 缩短 。 可 以 通过 增加 转子 的 数量 来 对 付 这 
种 “暴力 破译 法 ” 因为 只 要 每 增加 一 个 转子 ， 就 能 使 试验 的 数量 乘 上 26 倍 。 不 过 由 于 增 
加 转子 就 会 增加 机 器 的 体积 和 成 本 ， 而 密码 机 又 是 需要 能 够 便于 携带 的 ， 而 不 是 一 个 带 有 
儿 十 个 甚至 上 百 个 转子 的 庞然大物 。 那 么 方法 也 很 简单 ,“ 恩 尼 格 玛 ” 密码 机 的 三 个 转子 是 
可 以 拆卸 下 来 并 互相 交换 位 置 ， 这 样 一 来 初始 方向 的 可 能 性 一 下 就 增加 了 6 倍 。 假 设 三 个 


转子 的 编号 为 1，2，3， 那 么 它们 可 以 被 放 成 123 一 132 一 213 一 231 一 312 一 321 这 6 种 不 同 
位 置 ， 当 然 收 发 密 文 的 双方 除了 要 约定 转子 自身 的 初始 方向 外 ， 还 要 约 好 这 6 种 排列 中 的 
一 种 。 

而 除了 转子 方向 和 排列 位 置 外 ,“ 恩 尼 格 玛 ” 还 有 一 道 保障 安全 的 关卡 。 在 键盘 和 第 
一 个 转子 之 间 有 一 块 连接 板 ， 通 过 这 块 连接 板 可 以 用 一 根 连 线 把 某 个 字母 和 另 一 个 字母 连 
接 起 来 ， 这 样 这 个 字母 的 信号 在 进入 转子 之 前 就 会 转变 为 另 一 个 字母 的 信号 。 这 种 连 线 最 
多 可 以 有 6 根 ( 后 期 的 “ 恩 尼 格 玛 ”甚至 达到 10 根 连 线 )， 这 样 就 可 以 使 6 对 字母 的 信号 
两 两 互 换 ， 其 他 没有 插 上 连 线 的 字母 则 保持 不 变 。 当 然 ， 连 接 板 上 的 连 线 状况 也 是 收发 双 
方 预先 约定 好 的 。 

这 样 转 子 的 初始 方向 、 转子 之 间 的 相互 位 置 及 连接 板 的 连 线 状况 就 组 成 了 “ 恩 尼 格 玛 ” 
三 道 牢 不 可 破 的 保密 防线 ， 其 中 连接 板 是 一 个 简单 替换 密码 系统 ， 而 不 停 转动 的 转子 虽然 
数量 不 多 ,但 却 是 点 睛 之 笔 ， 使 整个 系统 变 成 了 复式 替换 系统 。 连 接 板 虽然 只 是 简单 替换 ， 
却 能 使 可 能 性 数目 大 大 增加 ， 在 转子 的 复式 作用 下 进一步 加 强 了 保密 性 。 下 面 来 算 一 算 经 
过 这 样 处 理 ， 要 想 通 过 “暴力 破解 法 ”还 原 明文 ， 需 要 试验 多 少 种 可 能 性 。 

(1) 三 个 转子 不 同 的 方向 组 成 了 26X26X26=17 576 种 可 能 性 。 

(2) 三 个 转子 间 不 同 的 相对 位 置 为 6 种 可 能 性 。 

(3) 连接 板 上 两 两 交换 6 对 字母 的 可 能 性 则 是 异常 庞大 ， 有 100 391 791 500 种 。 

于 是 一 共有 17 576X6X100 391 791 500， 其 结果 大 约 为 10 000 000 000 000 000， 即 一 
亿 亿 种 可 能 性 。 这 样 庞大 的 可 能 性 ， 换 言 之 ， 即 便 能 动员 大 量 的 人 力 物力 ， 要 想 靠 “暴力 
破解 法 ”来 逐一 试验 可 能 性 ， 那 几乎 是 不 可 能 的 。 而 收发 双方 则 只 要 按照 约定 的 转子 方向 、 
位 置 和 连接 板 连 线 状况 ， 就 可 以 非常 轻松 简单 地 进行 通信 了 。 这 就 是 恩 尼 格 玛 密码 机 的 保 
密 原 理 。 

德国 海军 是 德国 第 一 支 使 用 恩 尼 格 玛 密码 机 的 部 队 。 海 军 型 号 从 1925 年 开始 生产 ， 
于 1926 年 开始 使 用 。 到 了 1928 年 7 月 15 日 , 德国 陆军 已 经 有 了 他 们 自己 的 恩 尼 格 玛 密码 
机 ， 即 “ 恩 尼 格 玛 G 型 ” 它 在 1930 年 6 月 经 过 改进 成 为 了 “ 恩 尼 格 玛 I 型 ">。1930 年 ， 
德国 陆军 建议 海军 采用 他 们 的 恩 尼 格 玛 密码 机 ， 他 们 说 (有 接线 板 的 ) 陆军 版 安全 性 更 高 ， 
并 且 各 军种 之 间 的 通信 也 会 变 得 简单 。 海 军 最 终 同意 了 陆军 的 提议 , 并 且 在 1934 年 启用 了 
陆军 用 恩 尼 格 玛 密码 机 的 海军 改 型 ， 代 号 为 M3。 当 陆军 仍然 在 使 用 3 转子 恩 尼 格 玛 密码 
机 时 ， 海 军 为 了 提高 安全 性 可 能 要 开始 使 用 5 个 转子 了 。1938 年 12 月 ， 陆 军 又 为 每 台 恩 
尼 格 玛 密码 机 配备 了 两 个 转子 ， 这 样 操作 员 就 可 以 从 一 套 5 个 转子 中 随意 选择 三 个 使 用 。 
同样 在 1938 年 , 德国 海军 也 加 了 两 个 转子 ，1939 年 又 加 了 一 个 ， 所 以 操作 员 可 以 从 一 套 8 
个 转子 中 选择 3 个 使 用 。1935 年 8 月 ， 德 国 空军 也 开始 使 用 恩 尼 格 玛 密码 机 。1942 年 2 
月 1 日 ， 海 军 为 U 型 潜艇 配备 了 一 种 4 转子 恩 尼 格 玛 密码 机 ， 代 号 为 M4， 在 “二 战 ” 结 
束 以 后 ， 盟 军 认为 这 些 机 器 仍然 很 安全 , 于 是 将 缴获 的 恩 尼 格 玛 密码 机 卖 给 了 发 展 中 国家 。 

2. 哈 格林 密码 机 

瑞典 的 哈 格林 研制 出 了 哈 格林 密码 机 。 它 有 6 个 鼓 轮转 盘 ， 可 以 产生 101 405 850 个 
加 密 字母 而 不 重复 一 次 , 这 个 数字 要 比 有 5 个 密 钥 转盘 的 密码 机 大 10 倍 。 哈 格林 带 着 这 项 
设计 图 纸 和 样机 ， 远 涉 美 国 去 推销 , 得 到 了 美国 军 方 的 肯定 , 一 下 子 就 订购 了 14 万 部 来 装 
备 各 通信 机 构 ， 美 国 谍报 机 关 也 把 它 叫做 M-209 转换 机 。 
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M-209 转换 机 如 图 4.3 所 示 , 由 Smith-Coma 公司 负责 为 美国 陆军 生产 ， 曾 装备 美军 师 
到 营 级 部 队 。M-209 是 “二 战 ” 中 美军 的 主要 加 密 设 备 ， 在 朝鲜 战争 期 间 还 在 使 用 。M-209 
转换 机 增加 了 一 个 有 26 个 齿 的 密 钥 轮 ， 共 由 6 个 共 轴 转 轮 组 成 ， 每 个 转 轮 外 边缘 分 别 有 
17，19，21，23，25，26 个 齿 ， 它 们 互 为 素数 ， 从 而 使 它 的 密码 周期 达到 了 26X25X23X 
21X19X17= 101 405 850。 


图 4.3” M-209 密码 转换 机 


3. TYPEX 密码 机 

英国 的 TYPEX 密码 机 是 德国 3 轮 Enigma 的 改进 型 密码 机 , 它 增 加 了 两 个 轮 使 得 破译 
更 加 困难 ， 在 英 军 通信 中 使 用 广泛 ， 并 帮助 英 军 破译 了 德军 信号 。 

4. 破译 机 

1940 年 7 月 ,德国 空军 司令 戈 林 下 达 一 项 绝密 命令 ; 尽快 准备 大 规模 空袭 英国 ， 进 而 
派 遗 陆 海 军 攻占 英国 。 但 是 ， 英 国 首相 丘吉尔 却 出 人 意料 地 对 此 做 出 了 迅速 反应 ， 他 向 全 
世界 宣告 : 英国 将 在 海滩 上 ， 疙 至 城市 的 街道 中 抗击 并 打击 德国 人 。 戈 林 大 为 吃惊 ， 他 不 
知道 如 此 高 度 的 机 密 怎么 会 如 此 迅速 地 被 英国 人 获悉 ? 这 个 疯狂 的 纳粹 头子 当然 也 想 不 
到 ， 在 英国 海滨 边 一 个 叫 “ 布 雷 契 莱 ” 的 小 庄园 里 ， 有 一 支 当 时 世界 上 技术 力量 最 强大 的 
破译 机 构 ， 还 有 一 台 当 时 最 为 先进 的 电子 破译 机 。 

1943 年 年 底 ,布雷 契 莱 庄 园 又 运 来 了 一 台 可 以 任意 编写 程序 的 电子 计算 机 ， 它 的 信息 
储存 容量 很 大 ， 不 仅 能 够 用 来 破译 德国 “西门 子 ” 的 保密 电 传 打字 机 的 密码 ， 而 且 破 译 的 
速度 也 大 大 快 于 以 前 的 破译 机 。 美 国 最 早 的 破译 密码 机 构 是 在 1917 年 成 立 的 ,代号 为 MI8， 
也 叫做 “ 黑 房 间 ” 第 二 次 世界 大 战 时 , 日 本 海军 联合 舰队 司令 官 山 本 五 十 六 率领 的 日 本 海 
军 把 美国 海军 打 的 节 节 败退 。 这 时 山本 五 十 六 又 密令 对 中 途 岛 的 美国 舰队 实施 一 次 毁灭 性 
的 打击 ,这 封 密码 电报 被 设 在 珍珠 港 一 个 戒备 森严 的 地 下 室 中 的 美国 海军 作战 情报 团 截获 ， 
情报 官 罗 奇 福特 开动 了 一 台 “IBM 密码 破译 机 ”， 把 日 本 海军 有 45 000 个 码 组 和 50 000 个 
加 密码 组 的 “JN25 密码 ”输入 “IBM 破译 机 ”中 ， 经 过 运算 ， 把 这 份 破译 的 情报 记录 在 穿 
空 卡 上 ， 情 报 内 容 是 “大 日 本 海军 将 袭击 AF”。 罗 奇 福特 不 知道 AF 是 指 何 地 ， 但 他 分 析 
很 可 能 是 指 中 途 岛 ， 为 了 证 实 这 一 点 ， 他 要 了 一 个 花招 ， 让 美国 在 中 途 岛 上 的 驻军 用 已 经 
被 日 本 人 暗中 破译 的 密码 〈 这 一 点 美军 已 知道 ， 但 依然 伴 装 不 知 ) 拍 发 了 一 条 中 途 岛 缺少 
淡水 的 电文 。 果 然 在 两 天 后 ， 日 本 海军 总 部 向 各 舰队 发 出 了 一 封 电报 ， 罗 奇 福特 赶忙 把 这 
条 截获 的 电文 立即 输入 “IBM 破译 机 ”， 破 译 出 来 的 情报 是 :“AF 缺少 淡水 ， 有 利 我 军 偷 
袭 ” 几 天 后 ， 美 国 空 军 出 其 不 意 地 起 飞 “ 地 狱 式 ”俯冲 又 炸 机 ， 把 几 千 磅 等 级 的 大 量 炸弹 


倾 洱 到 日 本 正 准备 突袭 中 途 岛 的 军舰 上 ， 一 举 炸 沉 了 4 艘 主力 航空 母 舰 ， 使 日 本 海军 陷于 
瘫痪 。 一 年 后 ， 美 国 太平 洋 舰队 驻 夏 威 夷 密码 破译 部 队 同样 使 用 这 台 “IBM 破译 机 ”又 
截取 并 破译 了 山本 五 十 六 将 对 所 属 海军 舰队 进行 秘密 视察 的 电文 ， 当 山本 五 十 六 的 座机 飞 
上 天 空 时 ，14 架 美国 “闪电 式 ” 战 斗 机 突然 出 现在 山本 五 十 六 的 座机 周围 ， 发 射出 密集 的 
炮火 ， 炸 掉 了 飞机 的 翅膀 ， 山 本 五 十 六 的 座机 一 头 裁 进 从 林 。 

破译 密码 也 并 非 仅仅 只 靠 破译 机 ， 关 键 是 有 了 先进 的 破译 机 ， 还 需要 操纵 破译 机 的 人 
员 必 须 拥 有 较 高 的 智慧 和 极其 清晰 的 头脑 ， 根 据 具 体 的 截获 电波 ， 运 用 合理 的 程序 和 方法 
进行 多 渠道 的 破译 试验 。 例 如 ， 有 的 密码 的 密 钥 量 很 多 ， 保 密 性 和 保密 时 间 也 很 高 、 很 长 。 
这 就 好 比 找 钥匙 开锁 ,从 10 万 把 各 不 相同 的 钥匙 中 去 找 出 一 把 合适 的 开锁 钥匙 , 所 花 的 时 
间 要 很 多 很 多 ， 而 且 成 功 的 希望 也 没有 完全 把 握 。 根 据 现代 密码 的 一 般 情 况 ， 战 术 保密 级 
的 密码 最 低 的 密 钥 量 为 105， 假 定 破译 机 的 破译 速度 〈 换 密 钥 的 速度 ) 为 每 秒 1 次 ， 那 么 
需要 6 个 昼夜 才 有 可 能 破译 这 一 密码 。 而 战略 保密 级 的 密码 最 低 的 密 钥 量 为 10"， 假 定 破 
译 机 的 破译 速度 为 每 秒 1 亿 次 ， 那 么 也 需要 用 100 万 亿 年 才能 将 它 破译 。 因 此 ， 破 译 密码 
就 不 能 把 截获 的 电波 不 用 任何 变通 方法 便 输 到 破译 机 中 去 进行 按部就班 的 换 密 钥 运用 ， 而 
应 当 采 用 像 罗 奇 福 特 那样 一 些 巧妙 的 方法 来 快速 准确 地 破译 敌 方 电文 。 

古典 密码 的 发 展 已 有 悠久 的 历史 了 ， 尽 管 这 些 密码 大 都 比较 简单 ， 但 它 在 今天 仍 有 广 
泛 的 使 用 。 


4.1.4 现代 密码 ( 计算 机 阶段 ) 


密码 形成 一 门 新 的 学 科 是 在 20 世纪 70 年 代 ， 这 是 受 计 算 机 科学 莲 勃 发 展 刺激 和 推动 
的 结果 。 人 快速 电子 计算 机 和 现代 数学 方法 ， 一 方面 为 加 密 技术 提供 了 新 的 概念 和 工具 ; 另 
一 方面 也 给 破译 者 提供 了 有 力 武器 。 计 算 机 和 电子 学 时 代 的 到 来 给 密码 设计 者 带 来 了 前 所 
未 有 的 自由 ， 他 们 可 以 摆脱 原先 用 铬 笔 和 纸 进 行 手工 设计 时 易 犯 的 错误 ， 也 不 用 再 面 对 用 
电子 机 械 方 式 实现 的 密码 机 的 高 额 费用 。 总 之 ， 利 用 电子 计算 机 可 以 设计 更 为 复杂 的 密码 
系统 。 

1949 年 ， 美 国 数学 家 、 信 息 论 的 创始 人 克 劳 德 。 香 农 发 表 了 《保密 系统 的 信息 理论 》 
一 文 ， 文 中 提出 的 主要 观点 是 数据 安全 基于 密 钥 而 不 是 算法 的 保密 ， 它 标志 着 密码 学 阶段 
的 开始 。 同 时 以 这 篇 文章 为 标志 的 信息 论 为 对 称 密 钥 密码 系统 建立 了 理论 基础 ， 从 此 密码 
学 成 为 一 门 科学 。 由 于 保密 的 需要 ， 这 时 人 们 基本 上 看 不 到 关于 密码 学 的 文献 和 资料 ， 平 
常人 们 是 接触 不 到 密码 的 。1967 年 ，David Kahn 出 版 了 一 本 叫做 《破译 者 》 的 小 说 ， 使 人 
们 知道 了 密码 学 。20 世纪 70 年 代 初期 ，IBM 公司 发 表 了 有 关 密 码 学 的 几 篇 技术 报告 ， 从 
而 使 更 多 的 人 了 解 了 密码 学 的 存在 。 但 科学 理论 的 产生 并 没有 使 密码 学 失去 艺术 的 一 面 ， 
如 今 ， 密 码 学 仍 是 一 门 具有 艺术 性 的 科学 。 

1976 年 ，Diffie 和 Hellman 发 表 了 《密码 学 的 新 方向 》 一 文 ， 首 次 证 明了 在 发 送 端 和 
接收 端 不 需要 传输 密 钥 保密 通信 的 可 能 性 ， 文 中 提出 的 主要 观点 是 公 钥 密码 使 得 发 送 端 和 
接收 端 无 密 钥 传 输 的 保密 通信 成 为 可 能 ， 从 而 开创 了 公 钥 密码 学 的 新 纪元 。 受 他 们 的 思想 
启迪 , 各 种 公 钥 密码 体制 被 提出 。 该 文章 也 成 了 区 分 古典 密码 和 现代 密码 的 标志 。1978 年 ， 
RSA 公 钥 密码 体制 的 出 现 ， 成 为 公 钥 密码 的 杰出 代表 ， 并 成 为 事实 标准 ， 在 密码 学 史上 是 
一 个 里 程 碑 。 可 以 这 么 说 :“ 没 有 公 钥 密码 的 研究 就 没有 近代 密码 学 ”。 同 年 ， 美 国 国家 标 
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准 局 (NBS， 即 现在 的 国家 标准 与 技术 研究 所 NIST) 正式 公布 实施 了 美国 的 数据 加 密 标 准 
(Data Encryption Standard，DES)， 公 开 它 的 加 密 算 法 ， 并 被 批准 用 于 政府 等 非 机 密 单 位 及 
商业 上 的 保密 通信 。 上 述 两 篇 重要 的 论文 和 美国 数据 加 密 标准 的 实施 ， 标 志 着 密码 学 的 理 
论 与 技术 的 划时代 的 革命 性 变革 ， 宣 布 了 近代 密码 学 的 开始 。 

近代 密码 学 与 计算 机 技术 、 电 子 通 信 技 术 紧 密 相关 。 在 这 一 阶段 ， 密 码 理论 莲 勃 发 展 ， 
密码 算法 设计 与 分 析 互 相 促进 ， 出 现 了 大 量 的 密码 算法 和 各 种 攻击 方法 。 另 外 ， 密 码 使 用 
的 范围 也 在 不 断 扩张 ， 而 且 出 现 了 许多 通用 的 加 密 标准 ， 促 进 了 网 络 和 技术 的 发 展 。 

现在 ， 由 于 现实 生活 的 实际 需要 及 计算 机 技术 的 进步 ， 密 码 学 有 了 突飞猛进 的 发 展 ， 
密码 学 研究 领域 出 现 了 许多 新 的 课题 、 新 的 方向 。 例 如 在 分 组 密码 领域 , 由 于 DES 已 经 无 
法 满足 高 保密 性 的 要 求 , 美国 于 1997 年 1 月 开始 征集 新 一 代数 据 加 密 标准 , 即 高 级 数据 加 
密 标 准 (Advanced Encryption Standard，AES)。 目 前 ，AES 的 征集 已 经 选择 了 比利时 密码 
学 家 所 设计 的 Rijndael 算法 作为 标准 草案 ， 并 正在 对 Rijndael 算法 做 进一步 评估 。AES 征 
集 活动 使 国际 密码 学 界 又 掀起 了 一 次 分 组 密码 研究 高 潮 。 同 时 ， 在 公开 密 钥 密码 领域 ， 椭 
圆 曲 线 密码 体制 由 于 其 安全 性 高 、 计 算 速度 快 等 优点 引起 了 人 们 的 普遍 关注 ， 许 多 公司 与 
科研 机 构 都 投入 到 对 椭圆 曲线 密码 的 研究 当中 。 目 前 ， 椭 圆 曲 线 密码 已 经 被 列 入 一 些 标准 
中 作为 推荐 算法 。 另 外 ， 由 于 嵌入 式 系统 的 发 展 、 智 能 卡 的 应 用 ， 这 些 设备 上 所 使 用 的 密 
码 算法 由 于 系统 本 身 资源 的 限制 ， 要 求 密码 算法 以 较 小 的 资源 快速 实现 ， 这 样 公开 密 钥 密 
码 的 快速 实现 成 为 一 个 新 的 研究 热点 。 随 着 其 他 技术 的 发 展 ， 一 些 具 有 潜在 密码 应 用 价值 
的 技术 也 逐渐 得 到 了 密码 学 家 极 大 的 重视 ， 出 现 了 一 些 新 的 密码 技术 ， 如 混沌 密码 、 量 子 
密码 等 ， 这 些 新 的 密码 技术 正在 逐步 地 走向 实用 化 。 


4.1.5 密码 学 在 网 络 信息 安全 中 的 作用 


在 现实 世界 中 ， 安 全 是 一 个 相当 简单 的 概念 。 例 如 ， 房 子 门窗 上 要 安装 足够 坚固 的 锁 
以 阻止 窃贼 的 奖 入 ; 安装 报警 器 是 阻止 入 侵 者 破门 而 入 的 进一步 措施 ， 当 有 人 想 从 他 人 的 
银行 账户 上 骗取 钱 款 时 ， 出 纳 员 要 求 其 出 示 相 关 身 份 证 明 也 是 为 了 保证 存款 安全 ;签署 商 
业 合 同时 ， 需 要 双方 在 合同 上 签名 以 产生 法 律 效力 也 是 保证 合同 的 实施 安全 。 

在 数字 世界 中 ， 安 全 以 类 似 的 方式 工作 着 。 机 密 性 就 像 大 门 上 的 锁 ， 它 可 以 阻止 非法 
者 净 入 用 户 的 文件 夹 读 取 用 户 的 敏感 数据 或 盗 取 钱财 〈 如 信用 卡号 或 网 上 证 券 账户 信息 )。 
数据 完整 性 提供 了 一 种 当 某 些 内 容 被 修改 时 可 以 使 用 户 得 知 的 机 制 ， 相 当 于 报警 器 。 通 过 
认证 ， 可 以 验证 实体 的 身份 ， 就 像 从 银行 取 钱 时 需要 用 户 提供 合法 的 身份 (ID) 一 样 。 基 
于 密码 体制 的 数字 签名 具有 防 否 认 功能 ,同样 有 法 律 效力 ,可 使 人 们 遵守 数字 领域 的 承诺 。 

以 上 思想 是 密码 技术 在 保护 信息 安全 方面 所 起 作用 的 具体 体现 。 密 码 是 一 门 古老 的 技 
术 ， 但 自 密码 技术 诞生 直至 第 二 次 世界 大 战 结束 ， 对 于 公众 而 言 ， 密 码 技术 始终 处 于 一 种 
未 知 的 保密 状态 ， 常 与 军事 、 机 要 、 间 谍 等 工作 联系 在 一 起 ， 让 人 在 感到 神秘 之 余 ， 又 有 
几 分 月 惧 。 信 息 技术 的 迅速 发 展 改变 了 这 一 切 。 随 着 计算 机 和 通信 技术 的 迅猛 发 展 ， 大 量 
的 敏感 信息 常 通过 公共 通信 设施 或 计算 机 网 络 进行 交换 ， 特 别 是 Intemet 的 广泛 应 用 、 电 
子 商务 和 电子 政务 的 迅速 发 展 ， 越 来 越 多 的 个 人 信息 需要 严格 保密 ， 如 银行 账号 、 个 人 隐 
私 等 。 正 是 这 种 对 信息 的 机 密 性 和 真实 性 的 需求 ， 密 码 学 才 逐 渐 揭 去 了 神秘 的 面纱 ， 走 进 
公众 的 日 常生 活 中 。 


密码 技术 是 实现 网 络 信息 安全 的 核心 技术 ， 是 保护 数据 最 重要 的 工具 之 一 。 通 过 加 密 
变换 ， 将 可 读 的 文件 变换 成 不 可 理解 的 乱码 ， 从 而 起 到 保护 信息 和 数据 的 作用 。 它 直接 支 
持 机 密 性 、 完 整 性 和 非 否认 性 。 当 前 信息 安全 的 主流 技术 和 理论 都 是 基于 以 算法 复杂 性 理 
论 为 特征 的 现代 密码 学 。 从 Diffie 和 Hellman 发 起 密码 学 革命 起 ， 该 领域 最 近 几 十 年 的 发 
展 表明 ， 信 息 安全 技术 的 一 个 创新 生长 点 是 信息 安全 的 编译 码 理论 和 方法 的 深入 研究 ， 这 
方面 具有 代表 性 的 工作 有 数据 加 密 标准 、 高 级 加 密 标准 (AES)、RSA 算法、 椭圆 曲线 密码 
算法 (ECC)、IDEA 算法 、PGP 系统 等 。 

今天 ， 在 计算 机 被 广泛 应 用 的 信息 时 代 ， 由 于 计算 机 网 络 技术 的 迅速 发 展 ， 大 量 信息 
以 数字 形式 存放 在 计算 机 系统 里 ， 信 息 的 传输 则 通过 公共 信道 。 这 些 计算 机 系统 和 公共 信 
道 在 不 设防 的 情况 下 是 很 脆弱 的 ， 容 易 受到 攻击 和 破坏 ， 信 息 的 失窃 不 容易 被 发 现 ， 而 后 
果 可 能 是 极其 严重 的 。 如 何 保护 信息 的 安全 已 成 为 许多 人 感 兴 趣 的 迫切 话题 ， 作 为 网 络 安 
全 基础 理论 之 一 的 密码 学 引起 人 们 的 极 大 关注 ， 吸 引 着 越 来 越 多 的 科技 人 员 投 入 到 密码 学 
领域 的 研究 之 中 。 

密码 学 尽管 在 网 络 信息 安全 中 具有 举足轻重 的 作用 ， 但 密码 学 绝 不 是 确保 网 络 信息 安 
全 的 唯一 工具 ， 它 也 不 能 解决 所 有 的 安全 问题 。 同 时 ， 密 码 编码 与 密码 分 析 是 一 对 矛 和 盾 
的 关系 ， 它 们 在 发 展 中 始终 处 于 一 种 动态 的 平衡 。 在 网 络 信息 安全 领域 ， 除 了 技术 之 外 ， 
管理 也 是 一 个 非常 重要 的 方面 。 如 果 密 码 技术 使 用 不 当 ， 或 者 攻击 者 绕 过 了 密码 技术 的 使 
用 ， 就 不 可 能 提供 真正 的 安全 性 。 


4.2 密码 学 基础 


4.2.1 密码 学 相关 概念 


密码 学 〈Cryptology) 作为 数学 的 一 个 分 支 ， 是 密码 编码 学 和 密码 分 析 学 的 统称 。 或 
许 与 最 早 的 密码 起 源 于 古 希腊 有 关 ，cryptology 这 个 词 来 源 于 希腊 语 ，crypto 是 隐藏 、 秘 密 
的 意思 ，logo 是 单词 的 意思 ，grapho 是 书写 、 写 法 的 意思 ，cryptography 就 是 “如 何 秘密 
地 书写 单词 ”。 
使 消息 保密 的 技术 和 科学 叫做 密码 编码 学 (Cryptography)。 密 码 编码 学 是 密码 体制 的 
设计 学 ， 即 怎样 编码 ， 采 用 什么 样 的 密码 体制 以 保证 信息 被 安全 地 加 密 。 从 事 此 行业 的 人 
员 叫 做 密码 编码 者 〈Cryptographer)。 与 之 相对 应 ， 密 码 分 析 学 〈Cryptanalysis) 就 是 破译 
密 文 的 科学 和 技术 。 密 码 分 析 学 是 在 未 知 密 钥 的 情况 下 从 密 文 推演 出 明文 或 密 钥 的 技术 。 
密码 分 析 者 〈Cryptanalyst) 是 从 事 密码 分 析 的 专业 人 员 。 
在 密码 学 中 ， 有 一 个 五 元 组 : 明文 、 密 文 、 密 钥 、 加 密 算法 、 解 密 算 法 ， 对 应 的 加 密 
方案 称 为 密码 体制 (或 密码 )。 
。 明文 : 作为 加 密 输 入 的 原始 信息 ， 即 消息 的 原始 形式 , 通常 用 m 或 p 表示 。 所 有 可 
能 明文 的 有 限 集 称 为 明文 空间 ， 通 常用 M 或 P 来 表示 。 

。 密 文 : 明文 经 加 密 变 换 后 的 结果 ， 即 消息 被 加 密 处 理 后 的 形式 ， 通 常用 c 表示。 所 
有 可 能 密 文 的 有 限 集 称 为 密 文 空间 ， 通 常用 C 来 表示 。 

。 密 钥 : 参与 密码 变换 的 参数 ， 通 常用 大 表示 。 一 切 可 能 的 密 钥 构成 的 有 限 集 称 为 密 
钥 空 间 ， 通 常用 天 表示 。 

。 加 密 算 法 : 将 明文 变换 为 密 文 的 变换 函数 ， 相 应 的 变换 过 程 称 为 加 密 ， 即 编码 的 过 
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程 (通常 用 EE 表示 ， 即 c=Ex(p))。 
。 解密 算法 : 将 密 文 恢复 为 明文 的 变换 函数 ， 相 应 的 变换 过 程 称 为 解密 ， 即 解码 的 过 
程 (通常 用 DD 表示 ， 即 p=Dx(c))。 

对 于 有 实用 意义 的 密码 体制 而 言 , 总 是 要 求 它 满足 p=DK((Ex(p)), 即 用 加 密 算法 得 到 的 
密 文 总 是 能 用 一 定 的 解密 算法 恢复 出 原始 的 明文 来 。 而 密 文 消息 的 获取 同时 依赖 于 初始 明 
文 和 密 钥 的 值 。 

根据 密码 分 析 者 对 明文 、 密 文 等 信息 掌握 的 多 少 ， 可 将 密码 分 析 分 为 以 下 5 种 情形 。 

1， 唯 密 文 攻击 〈Ciphertext Only) 

对 于 这 种 形式 的 密码 分 析 ， 破 译 者 已 知 的 东西 只 有 两 样 : 加 密 算法 、 待 破译 的 密 文 。 

2. 已 知 明文 攻击 (Known Plaintext) 

在 已 知 明文 攻击 中 ， 破 译 者 已 知 的 东西 包括 加 密 算法 和 经 密 钥 加 密 形 成 的 一 个 或 多 个 
明文 - 密 文 对 ， 即 知道 一 定数 量 的 密 文 和 对 应 的 明文 。 

3. 选择 明文 攻击 〈Chosen Plaintext) 

选择 明文 攻击 的 破译 者 除了 知道 加 密 算 法 外 ， 还 可 以 选 定 明 文 消息 ， 并 可 以 知道 对 应 
的 加 密 得 到 的 密 文 ， 即 知道 选择 的 明文 和 对 应 的 密 文 。 例 如 ， 公 钥 密 码 体制 中 ， 攻 击 者 可 
以 利用 公 钥 加 密 任 意 选 定 的 明文 ， 这 种 攻击 就 是 选择 明文 攻击 。 

4. 选择 密 文 攻击 〈Chosen Ciphertext) 

与 选择 性 明文 攻击 相对 应 ， 破 译 者 除了 知道 加 密 算法 外 ， 还 包括 自己 选 定 的 密 文 和 对 
应 的 、 已 解密 的 原文 ， 即 知道 选择 的 密 文 和 对 应 的 明文 。 

S. 选择 文本 攻击 (Chosen Text) 

选择 文本 攻击 是 选择 明文 攻击 与 选择 密 文 攻击 的 结合 。 破 译 者 已 知 的 东西 包括 加 密 算 
法 、 由 密码 破译 者 选择 的 明文 消息 和 它 对 应 的 密 文 ， 以 及 由 密码 破译 者 选择 的 猜测 性 密 文 
和 它 对 应 的 已 破译 的 明文 。 

很 明显 ， 唯 密 文 攻击 是 最 困难 的 ， 因 为 分 析 者 可 供 利 用 的 信息 最 少 。 上 述 攻 击 的 强度 
是 递增 的 。 一 个 密码 体制 是 安全 的 ， 通 常 是 指 在 前 3 种 攻击 下 的 安全 性 ， 即 攻击 者 一 般 容 
易 具 备 进行 前 3 种 攻击 的 条 件 。 

加 密 和 解密 算法 的 操作 通常 是 在 一 组 密 钥 控制 下 进行 的 ， 分 别称 为 加 密 密 钥 和 解密 密 
钥 。 密 钥 未 知情 况 下 进行 的 解密 推演 过 程 称 为 破译 ， 也 称 为 密码 分 析 或 者 密码 攻击 。 它 们 
之 间 的 关系 如 图 4.4 所 示 。 


4.2.2 密码 系统 


密码 系统 是 用 于 加 密 与 解密 的 系统 ， 就 是 明文 与 加 密 密 钥 作为 加 密 变 换 的 输入 参数 ， 
经 过 一 定 的 加 密 变 换 处 理 以 后 得 到 输出 密 文 ， 由 它们 所 组 成 的 一 个 系统 。 一 个 完整 的 密码 
系统 由 密码 体制 (包括 密码 算法 及 所 有 可 能 的 明文 、 密 文 和 密 钥 )、 信 源 、 信 宿 和 攻击 者 
构成 。 

在 设计 和 使 用 密码 系统 时 ， 有 一 个 著名 的 “ 柯 克 霍 夫 原则 ”需要 遵循 ， 它 是 荷兰 密码 
学 家 Kerckhoffs 于 1883 年 在 其 名 著 《 军 事 密码 学 》 中 提出 的 密码 学 的 基本 假设 : 密码 系统 
中 的 算法 即使 为 密码 分 析 者 所 知 ， 也 对 推导 出 明文 或 密 钥 没有 帮助 。 也 就 是 说 ， 密 码 系统 
的 安全 性 不 应 取决 于 不 易 被 改变 的 事物 〈 算 法 )， 而 应 只 取决 于 可 随时 改变 的 密 钥 。 

如 果 密 码 系统 的 强度 依赖 于 攻击 者 不 知道 算法 的 内 部 机 理 ， 那 么 注定 会 失败 。 如 果 相 
信保 持 算法 的 内 部 秘密 比 让 研究 团体 公开 分 析 它 更 能 改进 密码 系统 的 安全 性 ， 那 就 错 了 。 
如 果 认 为 别人 不 能 反 汇 编 代 码 和 逆向 设计 算法 ， 那 就 太 天 真 了 。 最 好 的 算法 是 那些 已 经 公 
开 的 ， 并 经 过 世界 上 最 好 的 密码 分 析 家 们 多 年 的 攻击 ， 却 还 是 不 能 破译 的 算法 (美国 国家 
安全 局 曾 对 外 保持 他 们 的 算法 的 秘密 ， 而 且 有 世界 上 最 好 的 密码 分 析 家 在 为 他 们 工作 。 另 
外 ， 他 们 互相 讨论 他 们 的 算法 ， 通 过 反复 的 审查 发 现 他 们 工作 中 的 弱点 )。 

认为 密码 分 析 者 不 知道 密码 系统 的 算法 是 一 种 很 危险 的 假定 ， 因 为 

(1) 密码 算法 在 多 次 使 用 过 程 中 难免 被 敌 方 侦察 获悉 。 

(2) 在 某 个 场合 可 能 使 用 某 类 密码 更 合适 ， 再 加 上 某 些 设计 者 可 能 对 某 种 密码 系统 有 
偏好 等 因素 ， 政 方 往 往 可 以 “ 猜 出 ”所 用 的 密码 算法 。 

(3) 通常 只 要 经 过 一 些 统计 试验 和 其 他 测试 就 不 难 分 辨 出 不 同 的 密码 类 型 。 

1. 密码 系统 的 安全 条 件 

如 果 算 法 的 保密 性 是 基于 保持 算法 的 秘密 ,这 种 算法 称 为 受 限制 的 (Restricted) 算法 。 
受 限制 的 算法 的 特点 表现 为 : 

(1) 密码 分 析 时 因为 不 知道 算法 本 身 ， 还 需要 对 算法 进行 恢复 。 

(2) 处 于 保密 状态 的 算法 只 为 少量 的 用 户 知道 ， 产 生 破 译 动 机 的 用 户 也 就 更 少 。 

(3) 不 了 解 算 法 的 人 或 组 织 不 可 用 。 但 这 样 的 算法 不 可 能 进行 质量 控制 或 标准 化 ， 而 
日 要 求 每 个 用 户 和 组 织 必 须 有 自己 唯一 的 算法 。 

现代 密码 学 用 密 钥 解 决 了 这 个 问题 。 所 有 这 些 算法 的 安全 性 都 基于 密 钥 的 安全 性 ， 而 
不 是 基于 算法 的 安全 性 。 这 就 意味 着 算法 可 以 公开 ， 也 可 以 被 分 析 ， 即 使 攻击 者 知道 算法 
也 没有 关系 。 算 法 公开 的 优点 包括 : 

(1) 它 是 评估 算法 安全 性 的 唯一 可 用 的 方式 。 

(2) 防止 算法 设计 者 在 算法 中 隐藏 后 门 。 

(3) 可 以 获得 大 量 的 实现 ， 最 终 可 走向 低 成 本 和 高 性 能 的 实现 。 

(4) 有 助 于 软件 实现 。 

(5) 可 以 成 为 国内 、 国 际 标准 。 

(6) 可 以 大 量 生产 使 用 该 算法 的 产品 。 

所 以 ， 在 密码 学 中 有 一 条 不 成 文 的 规定 : 密码 系统 的 安全 性 只 取决 于 密 钥 ， 通 常 假定 

算法 是 公开 的 。 这 就 要 求 加 密 算法 本 身 要 非常 安全 。 
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评价 密码 体制 安全 性 的 3 个 途径 如 下 : 

(1) 计算 安全 性 。 计 算 安全 性 是 指 攻破 密码 体制 所 做 的 计算 上 的 努力 。 如 果 使 用 最 好 
的 算法 攻破 一 个 密码 体制 需要 至 少 NN 次 操作 (CN 是 一 个 特定 的 非常 大 的 数字 )， 则 可 以 定 
义 这 个 密码 体制 是 安全 的 。 存 在 的 问题 是 没有 一 个 已 知 的 实际 密码 体制 在 该 定义 下 可 以 被 
证 明 是 安全 的 。 通 常 的 处 理 办 法 是 使 用 一 些 特定 的 攻击 类 型 来 研究 计算 上 的 安全 性 ， 如 使 
用 穷 举 搜索 方法 。 很 明显 ， 这 种 判断 方法 对 于 一 种 攻击 类 型 安全 的 结论 并 不 适用 于 其 他 攻 
击 方法 。 

(2) 可 证 明 安全 性 。 这 种 方法 是 将 密码 体制 的 安全 性 归结 为 某 个 经 过 深入 研究 的 数学 
难题 ， 数 学 难题 被 证 明 求 解困 难 。 这 种 判断 方法 存在 的 问题 是 它 只 说 明了 安全 和 另 一 个 问 
题 相关 ， 并 没有 完全 证 明 问 题 本 身 的 安全 性 。 

(3) 无 条 件 安全 性 。 这 种 判断 方法 考虑 的 是 对 攻击 者 的 计算 资源 没有 限制 时 的 安全 
性 。 即 使 提供 了 无 穷 的 计算 资源 ， 依 然 无 法 被 攻破 ， 则 称 这 种 密码 体制 是 无 条 件 安全 的 。 

2. 密码 系统 的 分 类 

密码 编码 系统 通常 有 3 种 分 类 方式 。 

(1) 明文 变换 到 密 文 的 操作 类 型 。 

。 代替 〈Substitution) 。 即 明文 中 的 每 个 元 素 〈 人 位、 字母 、 位 组 合 或 字母 组 合 ) 被 映 

射 为 另 一 个 元 素 。 该 操作 主要 达到 非 线性 变换 的 目的 。 

。 换 位 〈Transposition) 。 即 明文 中 的 元 素 被 重新 排列 ， 这 是 一 种 线性 变换 ， 对 它们 的 

基本 要 求 是 不 丢失 信息 〈 即 所 有 操作 都 是 可 逆 的 ) 。 

(2) 所 用 的 密 钥 数 量 。 

。 单 密 钥 加 密 〈Single Key Cipher) 。 即 发 送 者 和 接收 者 双方 使 用 相同 的 密 钥 。 该 系统 

也 称 为 对 称 加 密 、 秘 密 密 钥 加 密 或 常规 加 密 。 

。 双 密 钥 加 密 (Dual Key Cipher) 。 即 发 送 者 和 接收 者 各 自 使 用 一 个 不 同 的 密 钥 ， 这 
两 个 密 钥 形 成 一 个 密 钥 对 ， 其 中 一 个 可 以 公开 ， 称 为 公 钥 ; 另 一 个 必须 为 密 钥 持 有 
人 秘密 保管 ， 称 为 私 铀 。 该 系统 也 称 为 非 对 称 加 密 或 公 钥 加 密 。 

(3) 明文 被 处 理 的 方式 。 

。 分 组 加 密 (Block Cipher) 。 一 次 处 理 一块 (组 ) 元 素 的 输入 ， 对 每 个 输入 块 产生 一 
个 输出 块 ， 即 一 个 明文 分 组 被 当做 一 个 整体 来 产生 一 个 等 长 的 密 文 分 组 输出 。 通 常 
使 用 的 是 64 位 或 128 位 的 分 组 大 小 。 

。 流 加 密 (Stream Cipher) 。 也 称 为 序列 密码 ， 即 连续 地 处 理 输入 元 素 ， 并 随 着 该 过 
程 的 进行 ， 一 次 产生 一 个 元 素 的 输出 ， 即 一 次 加 密 一 位 或 一 个 字 节 。 

人 们 在 分 析 分 组 密码 方面 做 出 的 努力 要 比 在 分 析 流 密码 方面 做 出 的 努力 多 得 多 。 一 般 
而 言 ， 分 组 密码 比 流 密码 的 应 用 范围 广 。 绝 大 部 分 基于 网 络 的 常规 加 密 应 用 都 使 用 分 组 
密码 。 

4.2.3 密码 学 的 基本 功能 
数据 加 密 的 基本 思想 是 通过 变换 信息 的 表示 形式 来 伪装 需要 保护 的 敏感 信息 ， 使 非 授 


权 者 不 能 了 解 被 保护 信息 的 内 容 。 网 络 安全 使 用 密码 学 来 辅助 完成 传递 敏感 信息 的 相关 问 
题 ， 主 要 包括 : 


(1) 机 密 性 。 仅 有 发 送 方 和 指定 的 接收 方 能 够 理解 传输 的 报 文 内 容 。 窃 听 者 可 以 截取 
到 加 密 了 的 报 文 ， 但 不 能 还 原 原 来 的 信息 ， 即 不 能 获取 报 文 内 容 。 

(2) 鉴别 。 发 送 方 和 接收 方 都 应 该 能 证 实 通信 过 程 所 涉及 的 另 一 方 ， 通 信 的 另 一 方 确 
实 具有 他 们 所 声称 的 身份 。 即 第 三 者 不 能 冒充 跟 你 通信 的 对 方 , 能 对 对 方 的 身份 进行 鉴别 。 

(3) 报 文 完整 性 。 即 使 发 送 方 和 接收 方 可 以 互相 鉴别 对 方 ， 但 还 需要 确保 其 通信 的 内 
容 在 传输 过 程 中 未 被 改变 。 

(4) 不 可 否认 性 。 如 果 收 到 通信 对 方 的 报 文 后 ， 还 要 证 实 报 文 确实 来 自 所 宣称 的 发 送 
方 ， 发 送 方 也 不 能 在 发 送 报 文 以 后 否认 自己 发 送 过 报 文 。 

43 密码 体制 

密码 体制 就 是 完成 加 密 和 解密 功能 的 密友 方案。 密码 学 发 展 至 今 ， 已 有 两 大 类 密码 体 
制 ， 第 一 类 为 对 称 密 钥 〈 单 密 钥 ) 密码 体制 ， 第 二 类 为 非 对 称 密 钥 (公共 钥 是 ) 密 码 体制 。 
4.3.1 对 称 密码 体制 

对 称 密码 体制 是 一 种 传统 密码 体制 ， 也 称 为 私 钥 密码 体制 。 在 对 称 加 密 系统 中 ， 加 密 
和 解密 采用 相同 的 密 钥 。 因 为 加 、 解 密 密 钥 相 同 ， 和 需要 通信 的 双方 必须 选择 和 保存 他 们 共 


同 的 密 钥 ， 各 方 必 须 信 任 对 方 不 会 将 密 钥 泄密 出 去 ， 这 样 就 可 以 实现 数据 的 机 密 性 和 完整 
性 ， 如 图 4.5 所 示 。 


图 4.5 对 称 密码 体制 


比较 典型 的 算法 有 DES 算法 及 其 变形 Triple DES (三 重 DES)、GDES (广义 DES); 
欧洲 的 IDEA; 日 本 的 FEALN、RC5 等 。 

对 称 密码 体制 的 安全 性 主要 取决 于 两 个 因素 : 

(1) 加 密 算法 必须 足够 安全 ， 使 得 不 必 为 算法 保密 ， 仅 根据 密 文 就 能 破译 出 消息 是 不 
可 行 的 。 

(2) 密 钥 的 安全 性 。 密 钥 必 须 保 密 并 保证 有 足够 大 的 密 钥 空间 ， 对 称 密码 体制 要 求 基 
于 密 文 和 加 密 / 解 密 算法 的 知识 能 破译 出 消息 的 做 法 是 不 可 行 的 。 

对 称 密码 算法 的 优 缺 点 如 下 : 

(1) 优点 。 加 密 、 解 密 处 理 速度 快 、 保 密度 高 等 。 
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(2) 缺点 。 

Q@ 密 钥 是 保密 通信 安全 的 关键 ， 发 信 方 必须 安全 、 妥 善 地 把 密 钥 护送 到 收 信 方 ， 不 
泄露 其 内 容 ， 如 何 才 能 把 密 钥 安全 地 送 到 收 信 方 是 对 称 密码 算法 的 突出 问题 。 对 称 密码 
算法 的 密 钥 分 发 过 程 十 分 复杂 ， 所 花 代价 高 。 

@ 多 人 通信 时 密 钥 组 合 的 数量 会 出 现 爆炸 性 膨胀 ,使 密 钥 分 发 更 加 复杂 化 , YX 个 人 进 
行 两 两 通信 ， 需 要 的 密 钥 数 为 NV-1)/2 个 。 

@ 通信 双方 必须 统一 密 钥 才能 发 送 保密 的 信息 。 如 果 发 信者 与 收 信人 素 不 相识 ， 这 
就 无 法 向 对 方 发 送 秘密 信息 了 。 

@ 除了 密 钥 管 理 与 分 发 问题 外 ， 对 称 密码 算法 还 存在 数字 签名 困难 问题 (通信 双方 
拥有 同样 的 消息 ， 接 收 方 可 以 伪造 签名 ， 发 送 方 也 可 以 否认 发 送 过 某 消 息 )。 


4.3.2 常用 的 对 称 密 钥 算法 


1. DES 数 据 加 密 标准 ) 

DES 是 由 IBM 公司 在 1971 年 设计 出 的 一 个 加 密 算法 。DES 在 1977 年 经 过 美国 国家 
标准 局 采用 为 联邦 标准 之 后 ， 己 成 为 金融 界 及 其 他 各 种 行业 最 广泛 应 用 的 对 称 密 钥 密码 系 
统 。DES 是 分 组 密码 的 典型 代表 ， 也 是 第 一 个 被 公布 出 来 的 标准 算法 。1977 年 ， 美国 正式 
公布 美国 数据 加 密 标准 一 一 DES， 并 广泛 用 于 商用 数据 加 密 ， 算 法 完全 公开 ， 这 在 密码 学 
史上 是 一 个 创举 。 尽管 计算 机 硬件 及 破解 密码 技术 的 发 展 日 新 月 异 , 若 撒 开 DES 的 密 钥 太 
短 ， 易 于 被 使 用 穷 举 密 钥 搜寻 法 找到 密 钥 的 攻击 法 不 谈 ， 目 前 所 知 攻击 法 ， 如 差分 攻击 法 
或 是 线性 攻击 法 ， 对 于 DES 的 安全 性 也 仅仅 做 到 了 质疑 的 地 步 ， 并 未 从 根本 上 破解 DES 。 

DES 仍 是 迄今 为 止 世界 上 最 为 广泛 使 用 和 流行 的 一 种 分 组 密码 算法 。 美 国政 府 已 经 征 
集 评估 并 决定 新 的 数据 加 密 标准 AES 以 取代 DES， 但 DES 对 现代 分 组 密码 理论 的 发 展 和 
应 用 起 到 了 黄 基 性 的 作用 。DES 是 一 种 对 二 进 制 数据 进行 加 密 的 算法 。 数 据 分 组 长 为 64 
位 ， 密 钥 长 也 为 64 位 。 使 用 56 位 密 钥 对 64 位 的 数据 块 进行 加 密 ， 并 对 64 位 的 数据 块 进 
行 16 轮 编 码 。 在 每 轮 编码 时 ， 一 个 48 位 的 “每 轮 ” 密 钥 值 由 56 位 的 完整 密 钥 得 出 来 。 经 
过 16 轮 的 迭代 、 乘 积 变换 、 压 缩 变 换 等 ， 输 出 密 文 也 为 64 位 。 DES 算法 的 安全 性 完全 
依赖 于 其 所 用 的 密 钥 。 

DES 用 软件 进行 解码 需要 很 长 时 间 ， 而 用 硬件 解码 速度 非常 快 ， 但 幸运 的 是 当时 大 多 
数 黑客 并 没有 足够 的 设备 制造 出 这 种 硬件 设备 。 

在 1977 年 ， 人 们 估计 要 耗资 2000 万 美元 才能 建成 一 个 专门 计算 机 用 于 DES 的 解密 ， 
而 且 需 要 12 个 小 时 的 破解 才能 得 到 结果 ， 所 以 当时 DES 被 认为 是 一 种 十 分 强壮 的 加 密 
方法 。 

1997 年 开始 ，RSA 公司 发 起 了 一 个 称 作 “ 向 DES 挑战 ”的 竞技 赛 。1997 年 1 月 ， 参 
赛 者 用 了 96 天 时 间 ， 成 功 地 破解 了 用 DES 加 密 的 一 段 信息 ; 一 年 之 后 , 在 第 二 届 赛 事 上 ， 
这 一 记录 被 改写 为 41 天， 1998 年 7 月 ,“ 第 2-2 届 DES 挑战 赛 (DES Challenge I-2)” 把 
破解 DES 的 时 间 缩 短 到 了 只 需 56 个 小 时 ;“ 第 三 届 DES 挑战 赛 (DES Challenge II)” 把 
破解 DES 的 时 间 缩 短 到 了 只 需 22.5 个 小 时 。 

2. AES〔 高 级 加 密 标准 ) 

AES 是 美国 联邦 政府 采用 的 一 种 区 块 加 密 标 准 。 这 个 标准 用 来 替代 原先 的 DES， 已 经 


被 多 方 分 析 且 广 为 全 世界 所 使 用 。 经 过 5 年 的 甄选 流程 ， 高 级 加 密 标 准 由 美国 国家 标准 与 
技术 研究 院 (NIST) 于 2001 年 11 月 26 日 发 布 于 FIPS PUB 197， 并 在 2002 年 5 月 26 日 
成 为 有 效 的 标准 。2006 年 ， 高 级 加 密 标 准 已 然 成 为 对 称 密 钥 加 密 中 流行 的 算法 之 一 。 

AES 的 基本 要 求 是 采用 对 称 分 组 密码 体制 ， 密 钥 长 度 的 最 少 支持 为 128、192、256， 
分 组 长 度 为 128 位 , 算法 应 易于 各 种 硬件 和 软件 实现 .1998 年 NIST 开始 AES 第 一 轮 分 析 、 
测试 和 征集 ， 共 产生 了 15 个 候选 算法 。1999 年 3 月 完成 了 第 二 轮 AES2 的 分 析 、 测 试 。 
2000 年 10 月 2 日 , 美国 政府 正式 宣布 选中 比利时 密码 学 家 Joan Daemen 和 Vincent Rijmen 
提出 的 一 种 密码 算法 RUJNDAEL 作为 AES。 

在 应 用 方面 ， 尽 管 DES 在 安全 上 是 脆弱 的 ， 但 由 于 快速 DES 芯片 的 大 量 生产 ， 使 得 
DES 仍 能 暂时 继续 使 用 ， 为 提高 安全 强度 ， 通 常 使 用 独立 密 钥 的 三 级 DES。 但 是 DES 迟 
早 要 被 AES 代替 。 流 密码 体制 较 之 分 组 密码 在 理论 上 成 熟 且 安全 ,但 未 被 列 入 下 一 代 加 密 
标准 。 

AES 加 密 数据 块 分 组 长 度 必 须 为 128 位 ， 密 钥 长 度 可 以 是 128 位 、192 位 、256 位 中 
的 任意 一 个 (如 果 数 据 块 及 密 钥 长 度 不 足 时 会 补 齐 )。AES 加 密 有 很 多 轮 的 重复 和 变换 。 

3. 3DES 

3DES 是 三 重 数据 加 密 算法 块 密码 的 通称 ， 它 相当 于 是 对 每 个 数据 块 应 用 三 次 DES 加 
密 算法 。 由 于 计算 机 运算 能 力 的 增强 ， 原 版 DES 密码 的 密 钥 长 度 变 得 容易 被 暴力 破解 。 
3DES 是 设计 用 来 提供 一 种 相对 简单 的 方法 ， 即 通过 增加 DES 的 密 钥 长 度 来 避免 类 似 的 攻 
击 ， 而 不 是 设计 一 种 全 新 的 块 密码 算法 。 

3DES 是 DES 向 AES 过 渡 的 加 密 算法 (1999 年 NIST 将 3DES 指定 为 过 渡 的 加 密 标准 )， 
是 DES 的 一 个 更 安全 的 变形 。 它 以 DES 为 基本 模块 ， 通 过 组 合 分 组 方法 设计 出 分 组 加 密 
算法 。 

4. RC2 

RC (Rivest Ciphers)2 是 由 著名 密码 学 家 Ron Rivest 设计 的 一 种 传统 对 称 分 组 加 密 算 
法 ， 它 可 作为 DES 算法 的 建议 替代 算法 。RC2 的 商业 版 本 允许 使 用 1 一 2048 位 的 密 钥 ， 
在 被 用 于 出 口 的 软件 中 其 密 钥 长 度 被 限制 在 40 位 ， 仅 使 用 40 位 密 钥 的 RC2 加 密 算法 的 
安全 性 相对 较 低 。 


4.3.3 非 对 称 密码 体制 


非 对 称 密码 体制 也 叫 公开 密 钥 密码 体制 、 双 密 钥 密码 体制 。 该 技术 就 是 针对 对 称 密码 
体制 的 缺陷 被 提出 来 的 。 在 公 钥 加 密 系 统 中 ， 加 密 和 解密 是 相对 独立 的 ， 加 密 和 解密 会 使 
用 两 把 不 同 的 密 钥 ， 加 密 密 钥 (公开 密 钥 ) 向 公众 公开 ， 谁 都 可 以 使 用 ,解密 密 钥 (秘密 密 钥 ) 
只 有 解密 人 自己 知道 ， 非 法 使 用 者 根据 公开 的 加 密 密 钥 无 法 推算 出 解密 密 钥 ， 所 以 也 被 称 
为 公 钥 密码 体制 ， 如 图 4.6 所 示 。 

公 钥 密码 体制 的 发 展 是 整个 密码 学 发 展 史 上 最 伟大 的 一 次 革命 ， 它 与 以 前 的 密码 体制 
完全 不 同 。 因 为 ， 公 钥 密 码 算法 基于 数学 问题 求解 的 困难 性 ， 而 不 再 是 基于 代替 和 换 位 方 
法 。 公 钥 密 码 体制 是 非 对 称 的 ， 它 使 用 两 个 独立 的 密 钥 ， 一 个 可 以 公开 ， 称 为 公 钥 ， 另 一 
个 不 能 公开 ， 称 为 私 钥 。 
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图 4.6 非 对 称 密码 体制 


> 


公 钥 密码 体制 的 产生 主要 基于 以 下 两 个 原因 : 一 是 为 了 解决 常规 密 钥 密码 体制 的 密 钥 
管理 与 分 配 的 问题 ;二 是 为 了 满足 对 数字 签名 的 需求 。 因 此 ， 公 钥 密 码 体制 在 消息 的 保密 
性 、 密 钥 分 配 和 认证 领域 有 着 重要 的 意义 。 

公 钥 密码 体制 的 算法 中 最 著名 的 代表 是 RSA 系统 ， 此 外 还 有 背包 密码 、McEliece 密 
人 码 、Diffe Hellman、Rabin、 零 知识 证 明 、 椭 圆 曲 线 、EIGamal 算法 等 。 公 钥 加 密 系统 除了 
用 于 数据 加 密 外 ， 还 可 用 于 数字 签名 。 公 钥 加 密 系统 可 提供 以 下 功能 : 

(1) 机 密 性 。 保 证 非 授权 人 员 不 能 非法 获取 信息 ， 通 过 数据 加 密 来 实现 。 

(2) 确认 性 。 保 证 对 方 属于 所 声称 的 实体 ， 通 过 数字 签名 来 实现 。 

(3) 数据 完整 性 。 保 证 信息 内 容 不 被 算 改 ， 入 侵 者 不 可 能 用 假 消 息 代替 合法 消息 ， 通 
过 数字 签名 来 实现 。 

(4) 不 可 抵赖 性 。 发 送 者 不 可 能 事后 否认 他 发 送 过 消息 ， 消 息 的 接收 者 可 以 向 中 立 的 
第 三 方 证 实 所 指 的 发 送 者 确实 发 出 了 消息 ， 通 过 数字 签名 来 实现 。 

可 见 ， 公 钥 加 密 系统 满足 信息 安全 的 所 有 主要 目标 。 

公 钥 密码 体制 的 优点 : 

(1) 网 络 中 的 每 一 个 用 户 只 需要 保存 自己 的 私有 密 钥 ， 则 N 个 用 户 仅 需 产生 N 对 密 
钥 。 密 钥 少 ， 便 于 管理 。 

(2) 密 钥 分 配 简单 ， 不 需要 秘密 的 通道 和 复杂 的 协议 来 传送 密 钥 。 公 开 密 钥 可 基于 公 
开 的 渠道 《如 密 钥 分 发 中 心 ) 分 发 给 其 他 用 户 ， 而 私有 密 钥 则 由 用 户 自己 保管 。 

(3) 可 以 实现 数字 签名 。 

公 钥 密码 体制 的 缺点 : 与 对 称 密码 体制 相 比 ， 公 开 密 钥 密 码 体制 的 加 密 、 解 密 处 理 速 
度 较 慢 ， 同 等 安全 强度 下 公开 密 钥 密码 体制 的 密 钥 位 数 要 求 多 一 些 。 

公 钥 密码 体制 可 用 于 以 下 三 个 方面 : 

(1) 通信 保密 。 此 时 将 公 钥 作为 加 密 密 钥 ， 私 钥 作 为 解密 密 钥 ， 通 信 双 方 不 需要 交换 
密 钥 就 可 以 实现 保密 通信 。 这 时 , 通过 公 钥 或 密 文 分 析出 明文 或 私 钥 是 不 可 行 的 。 如 图 4.7 
所 示 ，Bob 拥有 多 个 人 的 公 钥 ， 当 需要 向 Alice 发 送 机 密 消息 时 ， 他 用 Alice 公布 的 公 钥 对 
明文 消息 加 密 ， 当 Alice 接收 到 后 用 她 的 私 钥 解密 。 由 于 私 钥 只 有 Alice 本 人 知道 ， 因 此 能 
实现 通信 保密 。 


Alice 的 私 钥 


[ou 公 钥 


恒 | 9 如 RSA) 四 加 


图 4.7 通信 保密 


(2) 数字 签名 。 将 私 钥 作 为 加 密 密 钥 ， 公 和 钥 作 为 解密 密 钥 ， 可 实现 由 一 个 用 户 对 数据 
加 密 而 使 多 个 用 户 解读 。 如 图 4.8 所 示 ，Bob 用 私 钥 对 明文 进行 加 密 并 发 布 ，Alice 收 到 密 
文 后 用 Bob 公布 的 公 钥 解密 。 由 于 Bob 的 私 钥 只 有 Bob 本 人 知道 ， 因 此 Alice 看 到 的 明文 
肯定 是 Bob 发 出 的 ， 从 而 实现 了 数字 签名 。 


ES 
Bob 的 公 钥 
图- ne “ex | 外 -图 
明文 输入 ”加 密 算 法 (如 RSA) 解密 算法 ”明文 输出 
图 4.8 数字 签名 


(3) 密 钥 交 换 。 通 信 双 方 交换 会 话 密 钥 ， 以 加 密 通信 双方 后 续 连 接 所 传输 的 信息 。 每 
次 逻辑 连接 使 用 一 把 新 的 会 话 密 钥 ， 用 完 就 丢弃 。 


4.3.4 ”常用 公开 密 钥 算法 


1. RSA 

RSA 是 目前 最 有 影响 力 的 公 钥 加 密 算法 , 它 能 够 抵抗 到 目前 为 止 已 知 的 绝 大 多 数 密码 
攻击 ， 已 被 ISO 推荐 为 公 钥 数据 加 密 标准 。RSA 是 1977 年 由 MIT 教授 Ronald L.Rivest、 
Adi Shamir 和 Leonard M.Adleman 共同 开发 的 ， 分 别 取 自 三 名 数学 家 的 名 字 的 第 一 个 字母 
来 构成 。 

RSA 使 用 两 个 密 钥 ， 一 个 公开 密 钥 ， 一 个 私有 密 钥 。 如 用 其 中 一 个 加 密 ， 则 可 用 另 一 
个 解密 ， 密 钥 长 度 从 40 一 2048 位 可 变 ， 加 密 时 也 把 明文 分 成 块 ， 块 的 大 小 可 变 , 但 不 能 
过 密 钥 的 长 度 ，RSA 算法 把 每 一 块 明文 转化 为 与 密 钥 长 度 相同 的 密 文 块 。 密 钥 越 长 ， 加 密 
效果 越 好 ， 但 加 密 解 密 的 开销 也 大 ， 所 以 要 在 安全 与 性 能 之 间 折 中 考虑 。 
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RSA 算法 研制 的 最 初 理念 与 目标 是 努力 使 互联 网 安全 可 靠 ， 旨 在 解决 DES 算法 密 钥 
利用 公开 信道 传输 分 发 的 难题 。 而 实际 结果 不 但 很 好 地 解决 了 这 个 难题 , 还 可 利用 RSA 来 
完成 对 电文 的 数字 签名 以 抗 对 电文 的 否认 与 抵赖 ， 同 时 还 可 以 利用 数字 签名 较 容易 地 发 现 
攻击 者 对 电文 的 非法 算 改 ， 以 保护 数据 信息 的 完整 性 。 

RSA 的 安全 性 依赖 于 大 数 分 解 的 难度 ， 其 公开 密 钥 和 私人 密 钥 是 一 对 大 素数 的 函数 。 
从 一 个 公开 密 钥 和 密 文中 恢复 出 明文 的 难度 等 价 于 分 解 两 个 大 素数 之 积 的 难度 。 该 算法 经 
受 了 多 年 深入 的 密码 分 析 ， 虽 然 分 析 者 不 能 证 明 RSA 的 安全 性 ， 但 也 没有 证 明 RSA 的 不 
安全 ， 表 明 该 算法 的 可 信 度 还 是 比较 好 的 。 

RSA 算法 很 好 地 完成 了 对 电文 的 数字 签名 以 对 抗 数 据 的 否认 与 抵赖 。 利用 数字 签名 较 
容易 地 发 现 攻 击 者 对 电文 的 非法 算 改 ， 以 保护 数据 信息 的 完整 性 。 目 前 为 止 ， 很 多 种 加 密 
技术 采用 了 RSA 算法 ， 如 PGP (Pretty Good Privacy) 加 密 系 统 ， 它 是 一 个 工具 软件 ， 向 
认证 中 心 注册 后 就 可 以 用 它 对 文件 进行 加 解密 或 数字 签名 ，PGP 所 采用 的 就 是 RSA 算法 。 
由 此 可 以 看 出 RSA 有 很 好 的 应 用 ， 是 迄今 理论 上 最 为 成 熟 完 善 的 一 种 公 钥 密码 体制 。 

RSA 的 算法 涉及 三 个 参数 : n、el、e2。 其 中 ，n 是 两 个 大 质数 p、g 的 积 ，n 的 二 进 
制 表 示 时 所 占用 的 位 数 就 是 所 谓 的 密 钥 长 度 。el 和 e2 是 一 对 相关 的 值 ，el 可 以 任意 取 ， 
但 要 求 el 与 (p-1)x(q-1) 互 质 ， 青 选择 e2， 要 求 (e2xel)mod((p-1)x(g-1))=1。(n,， el)、(n， 
e2) 就 是 密 钥 对 。 其 中 (n，el) 为 公 钥 ，(n，e2) 为 私 钥 。RSA 加 解密 的 算法 完全 相同 ， 设 4 
为 明文 ， B 为 密 文 ， 则 4=B”mod mn; B=4” mod n( 公 和 钥 加 密 体制 中 ， 一 般 用 公 钥 加 密 ， 私 
钥 解 密 )。el 和 e2 可 以 互 换 使 用 ， 即 4=B” mod n; B=4” modn。 

举例 说 明 ， 取 两 个 质数 p=11，g=13, p 和 9 的 乘积 为 x=pXq=143， 算 出 男 一 个 数 4=(p-1)X 
(q-1)=120; 再 选取 一 个 与 4=120 互 质 的 数 ， 例 如 e=7， 则 公开 密 钥 为 (n，e) = 
(143, 7)。 

对 于 这 个 e 值 ， 可 以 算出 其 逆 4=103。 因 为 eXa=7X103=721， 满 足 eXa mod qd =1， 
即 721 mod 120=1 成 立 ， 则 秘密 密 钥 为 (n，a) = (143，103)。 假 设 小 王 需要 发 送 机 密 信 
息 (明文 ) m=85 给 小 李 ， 小 王 已 经 从 公开 媒体 得 到 了 小 李 的 公开 密 钥 (n, e) = (143, 7)， 
于 是 她 算出 加 密 值 c=m* mod n=857 mod 143=123 并 发 送 给 小 李 。 小 李 在 收 到 密 文 c=123 后 ， 
利用 只 有 自己 知道 的 秘密 密 钥 计算 m=c? mod n =123'”mod 143=85， 所 以 小 李 可 以 得 到 小 
王 发 给 他 的 真正 的 信息 m=85， 实 现 了 解密 。 

于 RSA 进行 的 都 是 大 数 计算 ,使 得 RSA 最 快 的 情况 也 比 DES 慢 上 好 几 倍 。 无 论 是 
软件 还 是 硬件 实现 ， 速 度 一 直 是 RSA 的 缺陷 ， 一 般 来 说 只 用 于 少量 数据 加 密 。RSA 的 速 
度 比 对 应 同样 安全 级 别 的 对 称 密码 算法 要 慢 1000 倍 左右 。 

比 起 DES 和 其 他 对 称 算法 来 说 ，RSA 要 慢 得 多 。 实 际 上 用 户 一 般 使 用 一 种 对 称 算法 
来 加 密 信 息 ， 然 后 用 RSA 来 加 密 比较 短 的 对 称 密码 ， 最 后 将 用 RSA 加 密 的 对 称 密码 和 用 
对 称 算 法 加 密 的 消息 送 给 对 方 用 户 。 这 样 一 来 对 随机 数 的 要 求 就 更 高 了 ， 尤 其 对 产生 对 称 
密码 的 要 求 非常 高 ， 和 否则 的 话 可 以 越过 RSA 来 直接 攻击 对 称 密码 。 

RSA 的 缺点 主要 有 : 

(1) 产生 密 钥 很 麻烦 ， 受 到 素数 产生 技术 的 限制 ， 因 而 难以 做 到 一 次 一 密 。 

(2) 速度 太 慢 ， 分 组 长 度 太 大 ， 为 保证 安全 性 , 7 至少 也 要 1024 位 以 上 ， 使 运算 代价 
很 高 。 较 对 称 密码 算法 慢 几 个 数量 级 ， 且 随 着 大 数 分 解 技术 的 发 展 ， 这 个 长 度 还 在 增加 ， 


不 利于 数据 格式 的 标准 化 。 为 了 速度 问题 ， 人 们 广泛 使 用 单 钥 、 公 钥 密码 结合 使 用 的 方法 ， 
优 缺 点 互补 : 单 钥 密码 加 密 速 度 快 ， 人 们 用 它 来 加 密 较 长 的 文件 ， 然 后 用 RSA 来 给 文件 密 
钥 加 密 ， 极 好 地 解决 了 单 钥 密码 的 密 钥 分 发 问题 。 

(3) RSA 密 钥 长 度 随 着 保密 级 别提 高 ,增加 很 快 。 RSA 的 安全 性 依赖 于 大 数 的 因子 分 
解 ， 现 今 ， 人们 已 能 分 解 1024 位 的 大 素数 ， 这 就 要 求 使 用 更 长 的 密 钥 。 

2. 背包 算法 

1977 年 ，Merkle 与 Hellman 合作 设计 了 使 用 背包 问题 实现 信息 加 密 的 方法 , 背包 问题 
是 一 种 组 合 优化 的 NP 完全 问题 。 问 题 可 以 描述 为 : 给 定 一 组 物品 ， 每 种 物品 都 有 自己 的 
重量 和 价格 ， 在 限定 的 总 重量 内 如 何 选择 才能 使 得 物品 的 总 价格 最 高 。 背 包 问 题 应 用 到 信 
息 加 密 上 的 工作 原理 是 : 假定 A 想 加 密 ， 则 先 产 生 一 个 较 易 求解 的 背包 问题 ， 并 用 它 的 解 
作为 专用 密 钥 ; 然后 从 这 个 问题 出 发 ， 生 成 男 一 个 难 解 的 背包 问题 ， 并 作为 公共 密 钥 。 如 
果 B 想 向 A 发 送 报 文 , B 就 可 以 使 用 难 解 的 背包 问题 对 报 文 进行 加 密 。 由 于 这 个 问题 十 分 
难 解 ， 因 此 一 般 没 有 人 能 够 破译 密 文 。A 收 到 密 文 后 ， 可 以 使 用 易 解 的 专用 密 钥 解密 。 

背包 加 密 分 为 加 法 背包 和 乘法 背包 。 

(1) 加 法 背包 。 已 知 ，1 二 2，1 十 2<4，1 十 2 十 4 过 8，1 十 2 十 4 十 8 二 16，…， 那 么 如 
果 选 择 这 样 一 些 数 , 这 些 数 从 小 到 大 排列 。 如果 前 面 所 有 的 数 加 起 来 的 值 总 小 于 后 面 的 数 ， 
那么 这 些 数 就 可 以 构成 一 个 背包 ， 然 后 给 一 个 背包 里 面 某 些 数 的 和 ， 这 个 数 就 是 被 加 密 的 
数 ， 由 这 个 背包 组 成 这 个 数 只 有 一 种 组 合 方式 ， 这 个 方式 就 是 秘密 了 。 例 如 给 大 家 一 个 背 
包 (2，3，6，12，24，48)， 由 这 个 背包 里 的 某 些 数 构成 的 数 86， 你 知道 86 怎么 来 的 吗 ? 
当然 ,你 看 着 背包 里 面 的 内 容 ， 可 以 知道 是 由 2 十 12 十 24 十 48 得 到 的 ， 如 果 没 有 这 个 背包 ， 
而 是 直接 得 到 这 个 86， 你 知道 组 成 这 个 86 的 最 小 数 是 多 少 吗 ? 你 无 法 知道 ， 因 为 加 起 来 
等 于 86 的 数 非常 多 ， 如 85 十 1=86，84 十 2=86 等 ， 所 以 背包 加 密 非 常 难 破 。 

(2) 乘法 背包 。 乘 法 背包 比 加 法 背包 更 复杂 ， 不 仅 是 运算 量 大 了 很 多 ， 更 重要 的 是 得 
到 的 一 个 被 加 密 了 的 数据 更 大 ， 一 般 都 是 上 亿 的 ， 而 且 在 许多 机 密 的 部 门 里 面 ， 背 包 的 数 
据 都 不 是 用 “ 数 ” 这 个 单位 ， 而 是 用 “位 ” 我 们 知道 ，1<2，1X2<3，1X2X3<<7， 
1X2X3X7<43，1X2X3X7X42<1765， 数 字 的 增长 还 是 很 快 的 ， 之 所 以 复杂 ， 就 是 因 
为 数字 很 大 。 背 包 的 特点 是 ， 如 果 背 包 里 面 的 数据 按 从 小 到 大 排列 ， 那 么 前 面 所 有 数据 的 
乘积 小 于 后 面 的 任何 一 个 元 素 。 虽 然 很 简单 ， 但 是 要 知道 乘积 的 数字 的 增长 是 非常 快 的 。 

背包 加 密 是 一 种 相当 高 级 的 加 密 方式 ， 不 容易 破解 ， 而 且 还 原 也 相对 容易 ， 因 此 采用 
这 种 加 密 方 式 加 密 游戏 数据 也 是 非常 好 的 ， 只 要 知道 背包 ， 就 可 以 轻易 算出 来 。 

这 么 复杂 的 加 密 , 怎么 解密 ? 有 如 下 两 种 破解 方法 : 利用 孤立 点 破解 和 利用 背包 破解 。 
所 谓 孤 立 点 ， 还 是 以 上 面 的 背包 为 例子 ， 可 以 把 密码 设 为 a， 得 到 的 密码 为 1， 如 果 把 密码 
设 为 b, 得 到 的 密码 为 2。 同 理 , 可 以 把 背包 里 面 的 所 有 元 素 都 利用 孤立 点 的 方法 枚 举 出 来 ， 
这 样 就 把 背包 和 弄 到 手 了 , 对 下 面 的 破解 就 不 成 问题 了 , 是 不 是 很 简单 ? 其 实在 加 密 的 时 候 ， 
也 许 它们 会 利用 蜡 或 运算 先 加 密 一 下 ， 再 利用 背包 加 密 ， 这 样 更 难 破 。 孤 立 点 方法 非常 有 
效 ， 但 不 是 万 能 的 ， 要 结合 前 面 的 方法 配合 使 用 。 利 用 背包 ， 这 个 就 简单 了 ， 想 一 想 ， 要 
加 密 也 得 有 背包 才能 完成 加 密 ， 要 解密 也 要 背包 , 这 就 是 说 , 不 管 是 用 户 端 还 是 服务 器 端 ， 
都 会 有 该 背包 的 ， 找 到 该 背包 就 解决 问题 了 。 
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4.4 哈 希 算法 


哈 希 算法 (Hash Algorithm)， 也 叫 信息 标记 算法 (Message-Digest Algorithm)， 可 以 提 
供 数据 完整 性 方面 的 判断 依据 。 

哈 希 算法 将 任意 长 度 的 二 进 制 值 映射 为 固定 长 度 的 较 小 二 进 制 值 ， 这 个 小 的 三 进 制 值 
称 为 哈 希 值 。 哈 希 值 是 一 段 数据 唯一 且 极 其 紧凑 的 数值 表示 形式 。 如 果 散 列 一 段 明 文 ， 而 
且 哪 怕 只 更 改 该 段落 的 一 个 字母 ， 随 后 的 哈 希 都 将 产生 不 同 的 值 。 要 找到 散 列 为 同一 个 值 
的 两 个 不 同 的 输入 ， 在 计算 上 是 不 可 能 的 ， 所 以 数据 的 哈 希 值 可 以 检验 数据 的 完整 性 ， 流 
程 如 图 4.9 所 示 。 


信息 信息 


结果 相同 , 则 数据 未 


人 被 得 改 


图 4.9 哈 希 算法 


哈 希 表 是 根据 设 定 的 哈 希 函数 和 处 理 冲 突 方法 将 一 组 关键 字 映 射 到 一 个 有 限 的 地 址 
区 间 上 ， 并 以 关键 字 在 地 址 区 间 中 的 映射 作为 记录 表示 在 表 中 的 存储 位 置 ， 这 种 表 称 为 哈 
希 表 或 散 列 ， 所 得 存储 位 置 称 为 哈 希 地 址 或 散 列 地 址 。 作 为 线性 数据 结构 与 表格 和 队列 等 
结构 相 比 ， 哈 希 表 无 疑 是 查找 速度 比较 快 的 一 种 。 

哈 希 算法 通过 将 单 向 数学 函数 应 用 到 任意 数量 的 数据 上 计算 后 会 得 到 固定 大 小 的 结 
果 。 如 果 输 入 数据 中 有 变化 ， 则 哈 希 也 会 发 生变 化 。 哈 希 可 用 于 许多 操作 ， 包 括 身份 验证 
和 数字 签名 ， 也 称 为 “消息 摘要 ” 

哈 希 算法 是 用 来 产生 一 些 数据 片段 (如 消息 或 会 话 项 ) 的 哈 希 值 的 算法 。 使 用 好 的 哈 
希 算 法 ， 在 输入 数据 中 所 做 的 更 改 就 可 以 更 改 结果 哈 希 值 中 的 所 有 位 。 因 此 ， 哈 希 对 于 检 
测 数据 对 象 〈 如 消息 ) 中 的 修改 很 有 用 。 此 外 ， 好 的 哈 希 算法 使 得 构造 两 个 相互 独立 量具 
有 相同 哈 希 的 输入 不 能 通过 计算 方法 实现 。 典 型 的 哈 希 算法 包括 MD2、MD4、MD5 和 
SHA-1。 哈 希 算法 也 称 为 “ 哈 希 函 数 ”。 

哈 希 算法 以 一 条 信息 为 输入 ， 输 出 一 个 固定 长 度 的 数字 ， 称 为 “标记 (Digest)”。 哈 
希 算法 具备 三 个 特性 : 

(1) 不 可 能 以 信息 标记 为 依据 推导 出 输入 信息 的 内 容 。 

(2) 不 可 能 人 为 控制 某 个 消息 与 某 个 标记 的 对 应 关系 〈 必 须 用 Hash 算法 得 到 )。 

(3) 要 想 找到 具有 同样 标记 的 信息 在 计算 方面 是 行 不 通 的 。 

哈 希 算法 与 加 密 算 法 共同 使 用 ， 加 强 数据 通信 的 安全 性 。 采 用 这 一 技术 的 应 用 有 数字 


签名 、 数 字 证 书 、 网 上 交易 、 终 端的 安全 连接 、 安 全 的 电子 邮件 系统 、PGP 加 密 软件 等 。 
4.S MDS 简介 


MD5 (Message-Digest Algorithm 5， 信 息 - 摘 要 算法 ) 在 20 世纪 90 年 代 初 由 Ronald 工 . 
Rivest 开发 出 来 ， 经 MD2、MD3 和 MD4 发 展 而 来 。MDS5 是 一 种 散 列 (Hash) 算法 ， 散 
列 算法 的 用 途 不 是 对 明文 加 密 ， 让 别人 看 不 懂 ， 而 是 通过 对 信息 摘要 的 比 对 ， 防 止 对 原文 
的 算 改 。 通 常 对 散 列 算法 而 言 ， 所 谓 的 “破解 ”就 是 找 碰 撞 。 

MD5 是 把 一 个 任意 长 度 的 字 节 串 加 密 成 一 个 固定 长 度 的 大 整数 〈 通 常 是 16 位 或 32 
位 ), 加 密 的 过 程 中 要 筛选 过 滤 掉 一 些 原文 的 数据 信息 , 因此 想 通 过 对 加 密 的 结果 进行 逆 运 
算 来 得 出 原文 是 不 可 能 的 。 

关于 MD5 的 应 用 ， 举 个 具体 的 例子 。 例 如 用 户 在 一 个 论坛 注册 了 一 个 账号 ， 密 码 设 
为 qiuyu21。 此 密码 经 过 MD5 运算 后 变 成 287F1E255D930496EE01037339CD978D， 当 单 
击 “ 提 交 ” 按 钮 提交 时 ， 服 务 器 的 数据 库 中 不 记录 用 户 的 真正 密码 qiuyu21， 而 是 记录 那 
个 MD5 的 运算 结果 。 然 后 ， 用 户 在 此 论坛 登录 ， 登 录 时 用 的 密码 是 qiuyu21， 计 算 机 再 次 
进行 MD5 运算 ， 把 qiuyu21 转 为 287F1E255D930496EE01037339CD978D， 最 后 传送 到 服 
务 器 那 边 。 这 时 服务 器 就 把 传 过 来 的 MD5 运算 结果 与 数据 库 中 用 户 注册 时 的 MD5 运算 结 
果 比 较 ， 如 果 相 同 则 登录 成 功 。 也 就 是 说 ， 服 务 器 只 是 把 MD5 运算 结果 作 比 较 。 服 务 器 
为 什么 不 用 直接 对 用 户 的 密码 qiuyu21 进行 校 验 呢 ? 因为 如 果 服 务 器 的 数据 库 里 存 的 是 真 
实 密码 ， 那 么 黑客 只 要 破解 了 服务 器 的 数据 库 ， 就 得 到 了 所 有 人 的 密码 ， 黑 客 可 以 用 里 面 
的 任意 密码 进行 登录 。 但 是 ， 如 果 数 据 库 里 面 的 密码 都 是 MD5 格式 的 ， 那 么 即使 黑客 得 
到 了 287F1E255D930496EE01037339CD978D 这 一 串 数字 ， 也 不 能 以 此 作为 密码 来 登录 。 

下 面 介绍 MD5 的 破解 问题 。 假 设 攻击 者 已 经 得 到 了 287F1E255D930496EE01037339 
CD978D 这 一 串 数字 , 那么 攻击 者 怎么 能 得 出 密码 是 qiuyu21 呢 ? 因为 MD5 算法 是 不 可 道 
的 ， 只 能 用 暴力 法 ( 穷 举 法 ) 来 破解 ， 就 是 列举 所 有 可 能 的 字母 和 数字 的 排列 组 合 ， 然 
后 一 一 进行 MD5 运算 来 验证 运算 结果 是 否 为 287F1E255D930496EE01037339CD978D 。 
qiuyu21 这 个 密码 是 7 位 英文 字符 和 数字 混合 ， 这 样 的 排列 组 合 的 数量 是 一 个 天 文 数字 ， 
如 果 一 一 列举 ， 那 么 在 有 生 之 年 是 看 不 到 的 。 所 以 只 有 使 用 黑客 字典 才 是 一 种 有 效 可 行 的 
方法 。 黑 客 字典 可 以 根据 一 些 规则 自动 生成 ， 例 如 qiuyu21 这 个 密码 就 是 一 种 常见 的 组 合 ， 
规则 是 : 拼音 十 拼音 十 数字 ， 拼 音 总 共 大 约 400 个 ， 数 字 以 100 个 两 位 数 来 算 ， 这 种 规则 
总 共 约 400X400X100=16 000 000 种 可 能 ， 使 用 优化 的 算法 ， 估 计 用 1s 就 能 破解 。 就 算 考 
虑 到 字母 开头 大 写 或 全 部 大 写 的 习惯 ， 也 只 会 花 大 约 十 几 秒 时 间 。 如 果 是 破解 熟悉 的 某 个 
人 的 密码 ， 那 么 可 以 根据 对 他 的 了 解 来 缩小 词典 的 范围 ， 以 便 更 快速 的 破解 。 这 种 破解 方 
法 在 很 大 程度 上 依赖 于 运气 。 

最 后 谈 谈 MD5 的 碰撞 。 根 据 密码 学 的 定义 ， 如 果 内 容 不 同 的 明文 通过 散 列 算法 得 出 
的 结果 密码 学 称 为 信息 摘要 ) 相同 ， 就 称 为 发 生 了 “碰撞 ”。 因 为 MD5 值 可 以 由 任意 长 
度 的 字符 计算 出 来 ， 所 以 可 以 把 一 篇 文章 或 者 一 个 软件 的 所 有 字 节 进行 MD5 运算 得 出 一 


第 
4 
章 


倪 码 长 大 


怡 稳 人 委 会 与 营 理 ( 营 二 多) 


个 数值 ， 如 果 这 篇 文章 或 软件 的 数据 改动 了 ， 那 么 再 计算 出 的 MD5 值 也 会 产生 变化 ， 这 
种 方法 常常 用 作 数 字 签 名 校 验 。 因 为 明文 的 长 度 可 以 大 于 MD5 值 的 长 度 ， 所 以 可 能 会 有 
多 个 明文 具有 相同 的 MDS 值 ， 如 果 找 到 了 两 个 相同 MD5 值 的 明文 ， 就 是 找到 了 MD5 的 
“碰撞 ”。 

散 列 算 法 的 碰撞 分 为 强 无 碰撞 和 弱 无 碰撞 两 种 。 以 前 面 那个 密码 为 例 : 假如 已 知 
287F1E255D930496EE01037339CD978D 这 个 MD5 值 ， 然 后 找 出 了 一 个 单词 碰巧 也 能 计算 
出 和 qiuyu21 相同 的 MD5 值 ， 那 么 就 找到 了 MD5 的 “ 弱 无 碰撞 ”其实 这 就 意味 着 已 经 破 
解 了 MD5。 如 果 不 给 指定 的 MD5 值 ， 随 便 去 找 任意 两 个 相同 MD5 值 的 明文 ， 即 找 “ 强 
无 磁 撞 ”， 显然 要 相对 容易 些 了 ， 但 对 于 好 的 散 列 算法 来 说 ， 做 到 这 一 点 也 很 不 容易 了 。 

对 MD5 算法 简要 的 叙述 可 以 为 : MD5 以 512 位 分 组 来 处 理 输入 的 信息 ， 且 每 一 分 组 
又 被 划分 为 16 个 32 位 子 分 组 ,经 过 了 一 系列 的 处 理 后 ,算法 的 输出 由 4 个 32 位 分 组 组 成 ， 
将 这 4 个 32 位 分 组 级 联 后 将 生成 一 个 128 位 散 列 值 。 在 MD5 算法 中 ， 首 先 需 要 对 信息 进 
行 填充 ， 使 其 字 节 长 度 对 512 求 余 的 结果 等 于 448。 因 此 ， 信 息 的 字 节 长 度 将 被 扩展 至 
NX512 十 448， 即 NX64 十 56 字 节 ，N 为 一 个 正 整 数 。 填 充 的 方法 如 下 : 在 信息 的 后 面 填 
充 一 个 1 和 无 数 个 0， 直 到 满足 上 面 的 条 件 时 才 停 止 用 0 对 信息 的 填充 。 然 后 ， 再 在 这 个 
结果 后 面 附加 一 个 以 64 位 二 进 制 表示 的 填充 前 信息 长 度 。 经 过 这 两 步 的 处 理 , 现在 的 信息 
字 节 长 度 为 NX512 十 448 十 64=(N 十 1)X512， 即 长 度 恰好 是 512 的 整数 倍 。 这 样 做 的 原因 
是 为 满足 后 面 处理 中 对 信息 长 度 的 要 求 。 

MD5 中 有 4 个 32 位 被 称 作 链接 变量 的 整数 参数 ， 分 别 为 4=0X01234567，B=0X 
89abcdef，C=0Xfedcba98，D=0X76543210。 当 设置 好 这 4 个 链接 变量 后 ， 就 开始 进入 算 
法 的 4 轮 循环 运算 。 循 环 的 次 数 是 信息 中 512 位 信息 分 组 的 数目 。 将 上 面 4 个 链接 变量 复 
制 到 另外 4 个 变量 中 : 4 到 a, 8B 到 b,，C 到 c,D 到 4。 主 循环 有 4 轮 (MD4 只 有 三 轮 )， 
每 轮 循环 都 很 相似 。 第 一 轮 进行 16 次 操作 。 每 次 操作 对 a、b、c、4q 中 的 三 个 作 一 次 非 线 
性 函数 运算 ， 然 后 将 所 得 结果 加 上 第 四 个 变量 。 再 将 所 得 结果 向 右 移 一 个 不 定 的 数 ， 并 加 
上 a、b、c、4 之 一 。 最 后 用 该 结果 取代 a、b、c、d 之 一 。 

按照 上 面 所 说 的 方法 实现 MD5 算法 以 后 ， 可 以 用 以 下 几 个 信息 对 程序 作 一 个 简单 的 
测试 ， 看 看 程序 有 没有 错误 。 

MD5 ("") = d41d8cd98f00b204e9800998ecf8427e 

MDS5 ("a") = 0cc175b9c0flb6a831c399e269772661 

MDS5 ("abc") = 900150983cd24fb0d6963f7d28e17f72 

MD5 ("message digest") = {96b697d7cb7938d525a2f31aafl61d0 

MD5 相对 MD4 所 作 的 改进 : 

(1) 增加 了 第 四 轮 。 

(2) 每 一 步 均 有 唯一 的 加 法 常数 。 

(3) 为 减弱 第 二 轮 中 函数 G 的 对 称 性 ， 从 CGI&DIG&DIGRD 变 为 G&DIGRCD)。 

(4) 第 (1) 步 加 上 了 第 (3) 步 的 结果 ， 这 将 引起 更 快 的 雪崩 效应 。 

(5) 改变 了 第 二 轮 和 第 三 轮 中 访问 消息 子 分 组 的 次 序 ， 使 其 更 不 相似 。 

(6) 近似 优化 了 每 一 轮 中 的 循环 左 移 位移 量 以 实现 更 快 的 雪崩 效应 。 各 轮 的 位 移 量 互 


不 相同 。 
4.6 ”PGP 加 密 软件 


PGP (Pretty Good Privacy) 是 一 种 在 信息 安全 传输 领域 首选 的 加 密 软 件 ， 其 技术 特性 
是 采用 了 非 对 称 的 公 钥 加 密 体系 。 由 于 美国 对 信息 加 密 产 品 有 严格 的 法 律 约束 ， 特 别 是 对 
向 美国 、 加 拿 大 之 外 国家 散播 该 类 信息 ， 以 及 出 售 、 发 布 该 类 软件 约束 更 为 严格 ， 因 而 限 
制 了 PGP 的 一 些 发 展 和 普及 ， 现 在 该 软件 的 主要 使 用 对 象 为 情报 机 构 、 政 府 机 构 、 信 息 安 
全 工作 者 〈 如 较 有 水 平 的 安全 专家 和 有 一 定 资历 的 黑客 )。PGP 最 初 的 设计 主要 是 用 于 邮 
件 加 密 ， 如 今 已 经 发 展 到 了 可 以 加 密 整 个 硬盘 、 分 区 、 文 件 、 文 件 夹 、 集 成 进 邮 件 软件 进 
行 邮件 加 密 ， 甚 至 可 以 对 ICQ 的 聊天 信息 实时 加 密 。 聊 天 者 只 要 安装 了 PGP， 就 可 利用 其 
ICQ 加 密 组 件 在 双方 聊天 的 同时 进行 加 密 或 解密 ， 最 大 程度 的 保证 聊天 信息 不 被 窃取 或 
监视 。 

PGP 使 用 加 密 及 效 验 的 方式 ， 提 供 了 多 种 功能 和 工具 ， 帮 助 保证 电子 邮件 、 文 件 、 磁 
盘 及 网 络 通信 的 安全 。 可 以 使 用 PGP 做 以 下 这 些 事 : 

(1) 在 任何 软件 中 进行 加 密 / 签 名 及 解密 / 校 验 。 通 过 PGP 选项 和 电子 邮件 插件 ， 可 以 
在 任何 软件 当中 使 用 PGP 的 功能 。 

(2) 创建 及 管理 密 钥 。 使 用 PGPkeys 创建 、 查 看 和 维护 自己 的 PGP 密 钥 对 ， 以 及 把 
任何 人 的 公 钥 加 入 自己 的 公 钥 库 中 。 

(3) 创建 自 解密 压缩 文档 。 可 以 建立 一 个 自动 解密 的 可 执行 文件 ， 任 何人 不 需要 事先 
安装 PGP， 只 要 得 知 该 文件 的 加 密 密 码 ， 就 可 以 把 这 个 文件 解密 。 这 个 功能 尤其 在 需要 把 
文件 发 送 给 没有 安装 PGP 的 人 时 特别 好 用 ， 并 且 此 功能 还 能 对 内 网 其 中 的 文件 进行 压缩 ， 
压缩 率 与 ZIP 相似 ， 比 RAR 略 低 〈 某 些 时 候 略 高 ， 如 含有 大 量 文本 )。 

(4) 创建 PGPdisk 加 密 文 件 。 该 功能 可 以 创建 一 个 pgd 的 文件 ， 此 文件 用 PGP Disk 
功能 加 载 后 将 以 新 分 区 的 形式 出 现 ， 可 以 在 此 分 区 内 放 入 需要 保密 的 任何 文件 。 其 使 用 私 
钥 和 密码 两 者 共用 的 方式 保存 加 密 数据 ， 保 密 性 坚不可摧 。 但 需要 注意 的 是 ， 一 定 要 在 重 
装 系统 前 记得 备份 “我 的 文档 ”中 PGP 文件 夹 里 的 所 有 文件 , 以 备 重 装 后 恢复 自己 的 私 钥 。 
该 步骤 一 定 不 能 落 掉 , 否则 将 永远 没有 可 能 再 次 打开 曾经 在 该 系统 下 创建 的 任何 加 密 文件 。 

(5) 永久 的 粉碎 销毁 文件 、 文 件 夹 ， 并 释放 出 磁盘 空间 。 可 以 使 用 PGP 粉碎 工具 来 永 
久 地 删除 那些 敏感 的 文件 和 文件 夹 , 而 不 会 遗留 任何 的 数据 片段 在 硬盘 上 。 也 可 以 使 用 PGP 
自由 空间 粉碎 器 再 次 清除 已 经 被 删除 的 文件 实际 占用 的 硬盘 空间 。 这 两 个 工具 都 是 要 确保 
所 删除 的 数据 将 永远 不 可 能 被 别有用心 的 人 恢复 。 

(6) 9x 新 增 的 全 盘 加 密 功能 ， 也 称 为 完整 磁盘 加 密 。 该 功能 可 将 整个 硬盘 上 的 所 有 
数据 加 密 ， 甚 至 包括 操作 系统 本 身 。 提 供 极 高 的 安全 性 ， 没 有 密码 之 人 绝 不 可 能 使 用 加 密 
过 的 系统 或 查看 人 硬盘 里 面 存 放 的 文件 、 文 件 夹 等 数据 。 即 便 是 硬盘 被 拆卸 到 另外 的 计算 机 
上 ， 该 功能 仍 将 忠实 的 保护 被 加 密 的 数据 、 加 密 后 的 数据 维持 原 有 的 结构 ， 文 件 和 文件 夹 
的 位 置 都 不 会 改变 。 

(7) 9x 增强 的 即时 消息 工具 加 密 功 能 。 该 功能 可 将 支持 的 即时 消息 工具 所 发 送 的 信 
息 完 全 经 由 PGP 处 理 ,， 只 有 拥有 对 应 私 钥 的 和 密码 的 对 方才 可 以 解 开 消息 的 内 容 。 任 何人 


第 
4 
章 


每 码 长 大 


怡 稳 倪 会 与 管理 ( 营 二 猎 ) 


截获 到 也 没有 任何 意义 ， 仅 仅 是 一 堆 乱 码 。 

(8) 9x 新 增 的 PGP 压缩 包 技术 。 该 功能 可 以 创建 类 似 其 他 压缩 软件 打包 压缩 后 的 文 
件 包 ， 但 不 同 的 是 其 拥有 坚不可摧 的 安全 性 。 

(9) 9x 增强 的 网 络 共享 技术 。 可 以 使 用 PGP 接管 共享 文件 夹 本 身 及 其 中 的 文件 ， 安 
全 性 远 远 高 于 操作 系统 本 身 提 供 的 账号 验证 功能 。 并 且 可 以 方便 的 管理 允许 的 授权 用 户 可 
以 进行 的 操作 。 极 大 地 方便 了 需要 经 常 在 内 部 网 络 中 共享 文件 的 企业 用 户 ， 免 于 受 蠕虫 病 
毒 和 黑客 的 侵袭 。 


4.6.1 PGP 的 技术 原理 


PGP 加 密 系 统 是 采用 公开 密 钥 加 密 与 传统 密 钥 加 密 相 结 合 的 一 种 加 密 技术 。 它 使 用 一 
对 数学 上 相关 的 钥匙 ， 其 中 一 个 〈 公 钥 ) 用 来 加 密 信 息 ， 另 一 个 〈 私 钥 ) 用 来 解密 信息 。 

PGP 采用 的 传统 加 密 技术 部 分 所 使 用 的 密 钥 称 为 “会 话 密 钥 (sek)”。 每 次 使 用 时 , PGP 
都 随机 产生 一 个 128 位 的 IDEA 会 话 密 钥 用 来 加 密 报 文 。 公 开 密 钥 加 密 技 术 中 的 公 钥 和 私 
钥 则 用 来 加 密会 话 密 钥 ， 并 通过 它 间接 地 保护 报 文 内 容 。 

PGP 中 的 每 个 公 钥 和 私 钥 都 伴随 着 一 个 密 钥 证 书 。 它 一 般 包含 以 下 内 容 : 

(1) 密 钥 内 容 ( 用 长 达 百 位 的 大 数字 表示 的 密 钥 )。 

(2) 密 钥 类 型 (表示 该 密 钥 为 公 钥 还 是 私 钥 )。 

(3) 密 钥 长 度 〈 密 钥 的 长 度 ， 以 二 进 制 位 表示 )。 

(4) 密 钥 编号 (用 以 唯一 标识 该 密 钥 )。 

(5) 创建 时 间 。 

(6) 用 户 标识 〈 密 钥 创建 人 的 信息 ， 如 姓名 、 电 子 邮件 等 )。 

(7) 密 钥 指纹 (为 128 位 的 数字 ， 是 密 钥 内 容 的 提要 ， 表 示 密 钥 唯 一 的 特征 )。 

(8) 中 介 人 签名 〈 中 介 人 的 数字 签名 ， 声 明 该 密 钥 及 其 所 有 者 的 真实 性 ， 包 括 中 介 人 
的 密 钥 编号 和 标识 信息 )。 

PGP 把 公 钥 和 私 钥 存放 在 密 钥 环 文件 中 。PGP 提供 有 效 的 算法 查找 用 户 需要 的 密 钥 。 
PGP 在 多 处 需要 用 到 口令 ， 它 主要 起 到 保护 私 钥 的 作用 。 由 于 私 钥 太 长 且 无 规律 ， 因 此 难 
以 记忆 。PGP 把 它 用 口令 加 密 后 存 入 密 钥 环 ， 这 样 用 户 可 以 用 易 记 的 口令 间接 使 用 私 钥 。 

PGP 的 每 个 私 钥 都 由 一 个 相应 的 口令 加 密 。PGP 主要 在 三 处 需要 用 户 输入 口令 : 

(1) 需要 解 开 收 到 的 加 密 信息 时 ，PGP 需要 用 户 输入 口令 ， 取 出 私 钥 解密 信息 。 

(2) 当 用 户 需要 为 文件 或 信息 签字 时 ， 用 户 输入 口令 ， 取 出 私 钥 加 密 。 

(3) 对 磁盘 上 的 文件 进行 传统 加 密 时 ， 需 要 用 户 输入 口令 。 


4.6.2 PGP 的 密 角 管理 


PGP 使 用 了 4 种 类 型 的 密 钥 : 一 次 性 会 话 对 称 密 钥 、 公 钥 、 私 钥 和 基于 口令 短语 的 对 
称 密 钥 。 

(1) 会 话 密 钥 。 使 用 CAST-128 算法 本 身 来 产生 随机 的 128 位 数字 。 将 128 位 的 密 钥 
和 两 个 作为 明文 的 64 位 块 作为 输入 ，CAST-128 算法 用 密码 反馈 模式 加 密 这 两 个 64 位 块 ， 
并 将 密 文 块 连接 起 来 形成 128 位 的 会 话 密 钥 。 两 个 作为 明文 输入 到 随机 数 发 生 器 的 64 位 块 
来 自 于 128 位 的 随机 数据 流 。 这 个 随机 数据 流 的 产生 是 以 用 户 的 击 键 为 基础 的 ， 击 键 时 间 


和 键 值 用 于 产生 随机 数据 流 。 

(2) 密 钥 标 识 符 。 在 PGP 中 , 加 密 的 消息 与 加 密 的 会 话 密 钥 一 起 发 送 给 消息 的 接收 者 。 
会 话 密 钥 是 使 用 接收 者 的 公 钥 加 密 的 ， 因 此 只 有 接收 者 才能 够 恢复 会 话 密 钥 ， 从 而 解密 消 
息 。 如 果 接 收 者 只 有 一 个 公 钥 / 私 钥 对 ， 接 收 者 就 会 自动 知道 用 哪个 密 钥 来 解密 会 话 密 钥 。 
但 如 上 所 述 ， 一 个 用 户 可 能 拥有 多 个 公 钥 / 私 钥 对 ， 这 种 情况 下， 接收 者 如 何 知 道 会 话 密 钥 
是 使 用 哪个 公 钥 加 密 的 呢 ? 一 个 简单 的 办 法 就 是 消息 的 发 送 者 将 加 密会 话 密 钥 的 公 钥 与 消 
息 一 起 传 过 去 ， 接 收 者 验证 收 到 的 公 钥 确实 是 自己 的 以 后 进行 解密 操作 。 但 这 样 做 会 造成 
空间 的 浪费 ， 因 为 RSA 的 密 钥 很 大 ， 可 能 由 几 百 个 十 进 制 位 组 成 。 

PGP 采用 的 解决 办 法 是 为 每 个 公 钥 分 配 一 个 密 钥 ID， 并 且 很 有 可 能 这 个 密 钥 ID 在 用 
户 ID 内 是 唯一 的 。 与 每 个 公 钥 关联 的 密 钥 ID 包含 公 钥 的 低 64 位 ， 这 个 长 度 足 以 保证 密 
钥 发 生 重复 的 概率 非常 小 。 详 细 的 使 用 操作 请 参见 第 14 章 。 


4.7 软件 与 硬件 加 密 技术 


4.7.1 软件 加 密 


软件 加 密 一 般 是 用 户 在 发 送信 息 前 , 先 调 用 信息 安全 模块 对 信息 进行 加 密 , 然后 发 送 ， 
到 达 接 收 方 后 ， 由 用 户 使 用 相应 的 解密 软件 进行 解密 并 还 原 。 软 件 加 密 的 方法 有 密码 表 加 
密 、 软 件 子 校 验方 式 、 序 列 号 加 密 、 许 可 证 管理 方式 、 钥 匙 盘 方 式 、 光 盘 加 密 等 方法 。 

1， 序列 号 加 密 

现今 很 多 共享 软件 大 多 采用 这 种 加 密 方式 ， 用 户 在 软件 的 试用 期 是 不 需要 交 费 的 ， 一 
旦 试用 期 满 还 希望 继续 使 用 这 个 软件 ， 就 必须 到 软件 公司 进行 注册 ， 然 后 软件 公司 会 根据 
提交 的 信息 一 般 是 用 户 的 名 字 ) 来 生成 一 个 序列 号 ， 当 收 到 这 个 序列 号 以 后 ， 在 软件 运 
行 的 时 候 输 入 进去 ， 软 件 会 验证 你 的 名 字 与 序列 号 之 间 的 关系 是 否 正确 ， 如 果 正 确 说 明 你 
已 经 购买 了 这 个 软件 ， 也 就 没有 日 期 的 限制 了 。 

2. 许可 证 加 密 

许可 证 加 密 是 序列 号 加 密 的 一 个 变种 。 从 网 上 下 载 或 购买 的 软件 并 不 能 直接 使 用 ， 软 
件 在 安装 或 运行 时 会 对 你 的 计算 机 进行 一 番 检 测 ， 并 根据 检测 结果 生成 一 个 特定 指纹 ， 这 
个 指纹 是 一 个 数据 文件 ， 把 这 个 指纹 数据 通过 Intemet、E-mail、 电 话 、 传 真 等 方式 发 送 到 
开发 商 那 里 ， 开 发 商 青 根据 这 个 指纹 给 你 一 个 注册 码 或 注册 文件 ， 你 得 到 这 个 注册 码 或 注 
册 文 件 并 按 软件 要 求 的 步骤 在 计算 机 上 完成 注册 后 方 能 使 用 。 

但 是 ， 采 用 软件 加 密 方 式 有 一 些 安全 隐患 : 

(1) 密 钥 的 管理 很 复杂 ， 这 也 是 安全 API 实现 的 一 个 难题 ， 从 目前 的 几 个 API 产品 来 
讲 ， 密 钥 分 配 协议 均 有 缺陷 。 

(2) 使 用 软件 加 密 ， 因 为 是 在 用 户 的 计算 机 内 部 进行 ， 容 易 使 攻击 者 采用 分 析 程 序 进 
行 跟踪 、 反 编译 等 手段 进行 攻击 。 

(3) 目前 国内 尚 无 自己 的 安全 API 产品 ， 另 外 软件 加 密 速 度 相 对 较 慢 。 


4.7.2 ”硬件 加 密 
硬件 加 密 则 是 采用 硬件 〈 电 路 、 器 件 、 部 件 等 ) 和 软件 结合 来 实现 加 密 ， 对 硬件 本 身 
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和 软件 采取 加 密 、 隐 藏 、 防 护 技术 ， 防 止 被 保护 对 象 被 攻击 者 破 析 、 破 译 。 硬 件 加 解密 是 
商业 或 军事 上 的 主流 。 硬 件 加 密 的 方法 有 加 密 卡 、 软 件 狗 、 微 狗 等 。 硬 件 加密 具 有 以 下 几 
个 特点 : 

(1) 速度 问题 : 针对 位 的 操作 ， 不 占用 计算 机 主 处 理 器 。 

(2) 安全 性 : 可 进行 物理 保护 ， 由 硬件 完成 加 密 解 密 和 权限 检查 ， 防 止 破译 者 通过 反 
汇编 、 反 编译 分 析 破 译 。 

(3) 易于 安装 。 不 需要 使 用 计算 机 的 电话 、 传 真 、 数 据 线 路 。 计 算 机 环境 下 ， 使 用 硬 
件 加 密 可 对 用 户 透明 ;， 而 用 软件 实现 ， 则 需要 在 操作 系统 深层 安装 ， 不 易 实现 。 

(4) 在 便 件 内 设置 自 毁 装置 ， 一 旦 发 现 硬件 被 拆卸 或 程序 被 跟踪 ， 促 使 硬件 自 毁 ， 使 
破译 者 不 敢 进 行动 态 跟踪 。 

硬件 加 密 是 目前 广泛 采用 的 加 密 手 段 ， 加 密 后 软件 执行 时 需 访问 相应 的 硬件 ， 如 插 在 
计算 机 扩展 模 上 的 卡 或 插 在 计算 机 并 口上 的 “ 狗 ”。 采用 硬 加 密 的 软件 执行 时 需 和 相应 的 硬 
件 交 换 数 据 ， 若 没有 相应 的 硬件 ， 加 密 后 的 软件 将 无 法 执行 。 


4.8 数字 签名 与 数字 证 书 
4.8.1 数字 签名 


所 谓 数字 签名 就 是 附加 在 数据 单元 上 的 一 些 数据 ， 或 是 对 数据 单元 所 做 的 密码 变换 。 
这 种 数据 或 变换 允许 数据 单元 的 接收 者 用 以 确认 数据 单元 的 来 源 和 数据 单元 的 完整 性 并 保 
护 数据 ， 防 止 被 人 《如 接收 者 ) 伪造 。 它 是 对 电子 形式 的 消息 进行 签名 的 一 种 方法 ， 一 个 
签名 消息 能 在 一 个 通信 网 络 中 传输 。 基 于 公 钥 密码 体制 和 私 钥 密码 体制 都 可 以 获得 数字 签 
名 ， 目 前 主要 是 基于 公 钥 密码 体制 的 数字 签名 ， 包 括 普通 数字 签名 和 特殊 数字 签名 。 普 通 
数字 签名 算法 有 RSA、ElGamal、Fiat-Shamir、Guillou-Quisquarter、Schnorr、Ong-Schnorr- 
Shamir 数字 签名 算法 、DESDSA， 椭 圆 曲 线 数字 签名 算法 和 有 限 自动 机 数字 签名 算法 等 。 
特殊 数字 签名 有 讶 签名、 代理 签名 、 群 签名 、 不 可 否认 签名 、 公 平 讶 签名、 门限 签名 、 具 
有 消息 恢复 功能 的 签名 等 ， 它 与 具体 应 用 环境 密切 相关 。 显 然 ， 数 字 签名 的 应 用 涉及 法 律 
问题 ， 美 国联 邦 政府 基于 有 限 域 上 的 离散 对 数 问题 制定 了 自己 的 数字 签名 标准 (DSS )。 

数字 签名 技术 是 不 对 称 加 密 算 法 的 典型 应 用 。 数 字 签 名 的 应 用 过 程 是 数据 源 发 送 方 使 
用 自己 的 私 钥 对 数据 校 验 和 其 他 与 数据 内 容 有 关 的 变量 进行 加 密 处 理 ， 完 成 对 数据 的 合法 
“签名 ” 数据 接收 方 则 利用 对 方 的 公 钥 来 解读 收 到 的 “数字 签名 ”， 并 将 解读 结果 用 于 对 数 
据 完 整 性 的 检验 ， 以 确认 签名 的 合法 性 。 数 字 签 名 技术 是 在 网 络 系统 虚拟 环境 中 确认 身份 
的 重要 技术 ， 完 全 可 以 代替 现实 过 程 中 的 “亲笔 签字 ”， 在 技术 和 法 律 上 有 保证 。 在 公 钥 与 
私 钥 管 理 方面 ， 数 字 签 名 应 用 与 加 密 邮 件 PGP 技术 正好 相反 。 在 数字 签名 应 用 中 ， 发 送 者 
的 公 钥 可 以 很 方便 地 得 到 ， 但 他 的 私 钥 则 需要 严格 保密 。 

数字 签名 的 主要 功能 是 保证 信息 传输 的 完整 性 、 发 送 者 的 身份 认证 、 防 止 交 易 中 的 抵 
赖 发 生 。 

数字 签名 技术 是 将 摘要 信息 用 发 送 者 的 私 钥 加 密 ， 与 原文 一 起 传送 给 接收 者 。 接 收 者 


只 有 用 发 送 的 公 钥 才能 解密 被 加 密 的 摘要 信息 ， 然 后 用 哈 希 函数 对 收 到 的 原文 产生 一 个 摘 
要 信息 ， 与 解密 的 摘要 信息 对 比 。 如 果 相 同 ， 则 说 明 收 到 的 信息 是 完整 的 ， 在 传输 过 程 中 
没有 被 修改 ， 和 否则 说 明 信 息 被 修改 过 ， 因 此 数字 签名 能 够 验证 信息 的 完整 性 。 

假定 A 需要 传送 一 份 合 同 给 B，B 需要 确认 合同 的 确 是 A 发 送 的， 同时 还 需要 确定 合 
同 在 传输 途中 未 被 修改 。 

通过 比较 标记 1 和 标记 2， 就 可 以 确认 合同 是 否 是 A 发 送 的， 以 及 合同 在 传输 途中 是 
和 否 被 修改 。 工 作 流程 如 图 4.10 所 示 。 


如 果 两 标记 相同 , 则 
络 信 符合 要 求 
a 


非 对 称 解 密 算法 


非 对 称 加 密 算法 


人 的 私有 密 铀 A 的 公开 密 钥 
A 


B 


图 4.10 数字 签名 的 工作 流程 


4.8.2 数字 证 书 


当 对 签名 人 同 公 开 密 钥 的 对 应 关系 产生 疑问 时 ， 就 需要 第 三 方 颁 证 机 构 
中 心 (Certificate Authorities，CA) 的 帮助 。 

由 于 电子 商务 技术 使 在 网 上 购物 的 顾客 能 够 极其 方便 地 获得 商家 和 企业 的 信息 ， 但 同 
时 也 增加 了 对 某 些 敏感 或 有 价值 的 数据 被 滥用 的 风险 。 为 了 保证 互联 网 上 电子 交易 及 支付 
的 安全 性 和 保密 性 ， 防 范 交 易 及 支付 过 程 中 的 欺诈 行为 ， 必 须 在 网 上 建立 一 种 信任 机 制 。 
这 就 要 求 参 加 电子 商务 的 买方 和 卖方 都 必须 拥有 合法 的 身份 ， 并 且 在 网 上 能 够 有 效 无 误 的 
被 进行 验证 。 数 字 证 书 是 一 种 权威 性 的 电子 文档 ， 它 提供 了 一 种 在 Intemet 上 验证 身份 的 
方式 , 其 作用 类 似 于 司机 的 驾驶 执照 或 日 常生 活 中 的 身份 证 。 它 是 由 权威 机 构 CA 发 行 的 ， 
人 们 可 以 在 互联 网 交往 中 用 它 来 识别 对 方 的 身份 。 当 然 ， 在 数字 证 书 认证 的 过 程 中 ,证书 
认证 中 心 作为 权威 的 、 公 正 的 、 可 信赖 的 第 三 方 ， 其 作用 是 至 关 重 要 的 。 

数字 证 书 必须 具有 唯一 性 和 可 靠 性 。 为 了 达到 这 一 目的 ， 需 要 采用 很 多 技术 来 实现 。 
通常 数字 证 书 采 用 公 钥 体制 ， 即 利用 一 对 互相 匹配 的 密 钥 进行 加 密 、 解 密 。 每 个 用 户 自己 
设 定 一 把 特定 的 仅 为 本 人 所 有 的 私 铀 ， 用 它 进行 解密 和 签名 ; 同时 设 定 一 把 公 钥 并 由 本 人 
公开 ， 为 一 组 用 户 所 共享 ， 用 于 加 密 和 验证 签名 。 当 发 送 一 份 保密 文件 时 ， 发 送 方 使 用 接 
收 方 的 公 钥 对 数据 加 密 ， 而 接收 方 则 使 用 自己 的 私 钥 解密 ， 这 样 信息 就 可 以 安全 无 误 地 到 
达 目 的 地 了 。 通 过 数字 的 手段 保证 加 密 过 程 是 一 个 不 可 逆 过 程 ， 即 只 有 用 私有 密 钥 才能 解 
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密 。 公 开 密 钥 技 术 解 决 了 密 钥 发 布 的 管理 问题 ， 用 户 可 以 公开 其 公开 密 钥 ， 而 保留 其 私有 

数字 证 书 使 用 过 程 如 图 4.11 所 示 , 用 
户 首先 向 CA 机 构 申 请 一 份 数 字 证 书 ， 申 
请 过 程 会 生成 他 的 公开 /私有 密 钥 对 。 公 开 
密 钥 被 发 送 给 CA 机 构 ，CA 机 构 生成 证 
书 ， 并 用 自己 的 私有 密 钥 签发 ， 同 时 向 用 
户 发 送 一 份 拷贝 。 用 户 用 数字 证 书 把 文件 
加 上 签名 ， 然 后 把 原始 文件 同 签名 一 起 发 
送 给 自己 的 同事 。 用 户 的 同事 从 CA 机 构 
查 到 用 户 的 数字 证 书 ， 用 证 书 中 的 公开 密 
钥 对 签名 进行 验证 。 

基于 数字 证 书 的 应 用 角度 分 类 ， 数 字 证 书 可 以 分 为 以 下 几 种 。 

1， 服 务 器 证 书 

服务 器 证 书 被 安装 于 服务 器 设备 上 ， 用 来 证 明 服 务 器 的 身份 和 进行 通信 加 密 。 服 务 器 
证 书 可 以 用 来 防止 假冒 站 点 。 

在 服务 器 上 安装 服务 器 证 书后 ， 客 户 端 浏览 器 可 以 与 服务 器 证 书 建 立 SSL 连接 ， 在 
SSL 连接 上 传输 的 任何 数据 都 会 被 加 密 。 同 时 ， 浏 览 器 会 自动 验证 服务 器 证 书 是 否 有 效 ， 
验证 所 访问 的 站 点 是 否 是 假冒 站 点 。 服 务 器 证 书 保护 的 站 点 多 被 用 来 进行 密码 登录 、 订 单 
处 理 、 网 上 银行 交易 等 。 全 球 知名 的 服务 器 证 书 品牌 是 verisign、thawte、geotrust 等 ， 其 
服务 器 证 书 编制 起 来 的 可 信和 网 络 已 履 盖 全 球 。 

SSL 证 书 主要 用 于 服务 器 的 数据 传输 链 路 加 密 和 身份 认证 ， 绑 定 网 站 域名 ， 不 同 的 产 
品 对 于 不 同 价值 的 数据 要 求 不 同 的 身份 认证 。 超 真 SSL 和 超 快 SSL 在 颁发 时 间 上 已 经 没有 
什么 区 别 ， 主 要 区 别 在 于 : 超 快 SSL 只 验证 域名 所 有 权 ， 证 书 中 不 显示 单位 名 称 ; 而 超 真 
SSL 需要 验证 域名 所 有 权 、 营 业 执 照 和 第 三 方 数据 库 验 证 ， 证 书 中 显示 单位 名 称 。 

2. 电子 邮件 证 书 

电子 邮件 证 书 可 以 用 来 证 明 电 子 邮 件 发 件 人 的 真实 性 。 它 并 不 证 明 数 字 证 书 上 面 CN 
一 项 所 标识 的 证 书 所 有 者 姓名 的 真实 性 ， 它 只 证 明 邮 件 地 址 的 真实 性 。 

收 到 具有 有 效 电子 签名 的 电子 邮件 ， 除 了 能 相信 邮件 确实 由 指定 邮箱 发 出 外 ， 还 可 以 
确信 该 邮件 从 被 发 出 后 没有 被 自 改 过 。 

另外 ， 使 用 接收 的 邮件 证 书 还 可 以 向 接收 方 发 送 加 密 邮 件 。 该 加 密 邮 件 可 以 在 非 安全 
网 络 传输 ， 只 有 接收 方 的 持 有 者 才 可 能 打开 该 邮件 。 

3. 客户 端 个 人 证 书 

客户 端 证 书 主要 被 用 来 进行 身份 验证 和 电子 签名 。 安 全 的 客户 端 证 书 被 存储 于 专用 的 
usbkey 中 。 存 储 于 key 中 的 证 书 不 能 被 导出 或 复制 ， 且 key 使 用 时 需要 输入 key 的 保护 密 
码 。 使 用 该 证 书 需 要 物理 上 获得 其 存储 介质 usbkey， 且 需要 知道 key 的 保护 密码 ， 这 也 被 
称 为 双 因子 认证 。 这 种 认证 手段 是 目前 Intemet 上 最 安全 的 身份 认证 手段 。 

客户 端 证 书 分 为 超 真 单位 证 书 、 超 真 个 人 证 书 、 超 快 个 人 证 书 、PDF 文件 签名 证 书 等 。 

数字 证 书 相 当 于 电子 化 的 身份 证 明 ， 应 有 值得 信赖 的 颁 证 机 构 (CA 机 构 ) 的 数字 签 


图 4.11 数字 证 书 的 使 用 过 程 


名 ， 可 以 用 来 强力 验证 某 个 用 户 或 某 个 系统 的 身份 及 其 公开 密 钥 。 
数字 证 书 既 可 以 向 一 家 公共 的 办 证 机 构 申 请 ， 也 可 以 向 运转 在 企业 内 部 的 证 书 服务 器 
申请 。 这 些 机 构 提 供 证 书 的 签发 和 失效 证 明 服务 。 


4.9 PKI 基础 知识 


PKI (Public Key Infrastructure， 公 开 密 钥 体系 ) 是 一 种 遵循 既定 标准 的 密 钥 管 理 平台 ， 
它 能 够 为 所 有 网 络 应 用 提供 加 密 和 数字 签名 等 密码 服务 及 所 必需 的 密 钥 和 证 书 管理 体系 。 
简单 来 说 ，PKI 就 是 利用 公 钥 理论 和 技术 建立 的 提供 安全 服务 的 基础 设施 。PKI 技术 是 信 
息 安 全 技术 的 核心 ， 也 是 电子 商务 的 关键 和 基础 技术 。 


4.9.1 PKI 的 基本 组 成 


完整 的 PKI 系统 必须 具有 权威 认证 机 构 (CA)、 数 字 证 书库 、 密 钥 备 份 及 恢复 系统 、 
证 书 作废 系统 、 应 用 接口 (API) 等 基本 构成 部 分 ， 构 建 PKI 也 将 围绕 着 这 5 大 系统 来 着 
手 构建 。 

(1) 认证 机 构 。 即 数字 证 书 的 申请 及 签发 机 关 ，CA 必须 具备 权威 性 的 特征 。 

(2) 数字 证 书库 。 用 于 存储 已 签发 的 数字 证 书 及 公 钥 ， 用 户 可 由 此 获得 所 需 的 其 他 用 
户 的 证 书 及 公 钥 。 

(3) 密 钥 备份 及 恢复 系统 。 如 果 用 户 丢 失 了 用 于 解密 数据 的 密 钥 ， 则 数据 将 无 法 被 解 
密 ， 这 将 造成 合法 数据 丢失 。 为 避免 这 种 情况 ，PKI 提供 备份 与 恢复 密 钥 的 机 制 。 但 需 注 
意 , 密 钥 的 备份 与 恢复 必须 由 可 信 的 机 构 来 完成 。 并 且 密 钥 备 份 与 恢复 只 能 针对 解密 密 钥 ， 
签名 私 钥 为 确保 其 唯一 性 而 不 能 够 作 备份 。 

(4) 证 书 作废 系统 。PKI 的 一 个 必 备 的 组 件 。 与 日 常生 活 中 的 各 种 身份 证 件 一 样 ， 证 
书 有 效 期 以 内 也 可 能 需要 作废 ， 原 因 可 能 是 密 钥 介质 丢失 或 用 户 身份 变更 等 。 为 实现 这 一 
点 ，PKI 必须 提供 作废 证 书 的 一 系列 机 制 。 

(5) 应 用 接口 。PKI 的 价值 在 于 使 用 户 能 够 方便 地 使 用 加 密 、 数 字 签名 等 安全 服务 ， 
因此 一 个 完整 的 PKI 必须 提供 良好 的 应 用 接口 系统 ， 使 得 各 种 各 样 的 应 用 能 够 以 安全 、 一 
致 、 可 信 的 方式 与 PKI 交互 ， 确 保安 全 网 络 环境 的 完整 性 和 易 用 性 。 


4.9.2 PKI 的 安全 服务 功能 


建设 PKI 体系 是 为 网 上 金融 、 网 上 银行 、 网 上 证 券 、 电 子 商务 、 电 子 政务 、 网 上 交 税 、 
网 上 工商 等 多 种 网 上 办 公 、 交 易 提 供 完备 的 安全 服务 功能 ， 是 公 钥 基础 设施 最 基本 、 最 核 
心 的 功能 。 作 为 基础 设施 要 做 到 : 遵循 必要 的 原则 ， 不 同 的 实体 可 以 方便 地 使 用 PKI 安全 
基础 设施 提供 的 服务 。 安 全 服务 功能 包括 身份 认证 、 完 整 性 、 机 密 性 、 不 可 否认 性 、 时 间 
截 和 数据 的 公正 性 服务 。 

1. 网 上 身份 安全 认证 
于 网 络 使 用 者 匿名 的 特点 ， 每 个 人 都 可 以 通过 一 定 的 手段 假冒 别人 的 身份 实施 非法 
的 操作 和 网 上 交易 ， 从 而 对 系统 或 合法 用 户 造成 危害 。 因 此 ， 网 上 的 身份 认证 在 网 络 出 现 
以 来 就 一 直 是 人 们 关注 和 研究 的 热点 。 人 们 已 经 认识 到 网 上 身份 认证 是 一 切 电子 商务 应 用 
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的 基础 。 

认证 的 实质 就 是 证 实 被 认证 对 象 是 否 属实 和 是 否 有 效 的 过 程 ， 常 常 被 用 于 通信 双方 相 
互 确 认 身 份 ， 以 保证 通信 的 安全 。 其 基本 思想 是 通过 验证 被 认证 对 象 的 某 个 专 有 属性 ， 达 
到 确认 被 认证 对 象 是 否 真实 、 有 效 的 目的 。 被 认证 对 象 的 属性 可 以 是 口令 、 数 字 签名 或 者 
指纹 、 声 音 、 视 网 膜 这 样 的 生理 特征 等 。 目 前 ， 实 现 认证 的 技术 手段 很 多 ， 通 常 有 口令 技 
术 加 了 〈 实 体 唯 一 标识 )、 双 因素 认证 、 挑 战 应 答 式 认 证 、 著 名 的 Kerberos 认证 系统 ， 以 
及 X.509 证 书 及 认证 框架 。 这 些 不 同 的 认证 方法 所 提供 的 安全 认证 强度 也 不 一 样 ， 具 有 各 
自 的 优势 、 不 足 ， 以 及 所 适用 的 安全 强度 要 求 不 同 的 应 用 环境 。 而 解决 网 上 电子 身份 认证 
的 PKI 技术 近年 来 被 广泛 应 用 ， 并 取得 了 飞速 的 发 展 ， 在 网 上 银行 、 电 子 政务 等 保护 用 户 
信息 资产 等 领域 发 挥 了 巨大 的 作用 。 

数字 签名 技术 是 基于 公 钥 密码 学 的 强 认 证 技术 ， 其 中 每 个 参与 交易 的 实体 都 拥有 一 对 
签名 的 密 钥 。 每 个 参与 的 交易 者 都 自己 掌握 进行 签名 的 私 钥 ， 私 钥 不 在 网 上 传输 ， 因 此 只 
有 签名 者 自己 知道 签名 私 钥 ， 从 而 保证 其 安全 。 公 开 的 是 进行 验证 签名 的 公 钥 。 因 此 只 要 
私 钥 安全 ， 就 可 以 有 效 地 对 产生 该 签名 的 声称 者 进行 身份 验证 ， 保 证 交互 双方 的 身份 真 
实 性 。 

为 了 保证 公 钥 的 可 靠 性 , 即 保证 公 钥 与 其 拥有 者 的 有 效 绑 定 , 通过 PKI 体系 中 的 权威 、 
公正 的 第 三 方 一 一 认证 中 心 ， 为 所 服务 的 PKI 域内 的 相关 实体 签发 一 个 网 上 身份 证 ， 即 数 
字 证 书 来 保证 公 钥 的 可 靠 性 ， 以 及 它 与 合法 用 户 的 对 应 关系 。 数 字 证 书 中 主要 包含 的 就 是 
证 书 所 有 者 的 信息 、 证 书 所 有 者 的 公开 密 钥 和 证 书 颁发 机 构 的 签名 ， 以 及 有 关 的 扩展 内 容 
等 。 具 备 了 这 些 条 件 ， 就 可 以 在 具体 的 业务 中 有 效 实现 交易 双方 的 身份 认证 。 

2. 保证 数据 完整 性 

数据 的 完整 性 就 是 防止 非法 算 改 信息 ， 如 修改 、 复 制 、 插 入 、 删 除 等 。 在 交易 过 程 中 ， 
要 确保 交易 双方 接收 到 的 数据 和 从 数据 源 发 出 的 数据 完全 一 致 ， 数 据 在 传输 和 存储 的 过 程 
中 不 能 被 算 改 ， 否 则 交易 将 无 法 完成 或 所 做 交易 违背 交易 意图 。 

但 直接 观察 原始 数据 的 状态 来 判断 其 是 否 改变 在 很 多 情况 下 是 不 可 行 的 。 如 果 数 据 量 
很 大 ， 将 很 难 判断 其 是 否 被 自 改 ， 即 完整 性 很 难得 到 保证 。 为 了 保证 数据 的 完整 性 ， 已 出 
现 了 各 种 不 同 的 安全 机 制 和 方法 .其 中 在 电子 商务 和 网 络 安全 领域 使 用 最 多 的 就 是 密码 学 ， 
它 为 我 们 提供 了 数据 完整 性 机 制 和 方法 。 

在 国内 PKI 体系 所 实现 的 方案 中 ， 目 前 采用 的 标准 散 列 算法 有 SHA1、MD5 作为 可 选 
的 Hash 算法 来 保证 数据 的 完整 性 。 在 实际 应 用 中 ， 通 信 双 方 通过 协商 以 确定 使 用 的 算法 
和 密 钥 ， 从 而 在 两 端 计算 条 件 一 致 的 情况 下 ， 对 同一 数据 应 当 计 算出 相同 的 算法 来 保证 数 
据 不 被 自 改 ， 实 现 数据 的 完整 性 。 

3. 保证 网 上 交易 的 抗 否认 性 

不 可 否认 用 于 从 技术 上 保证 实体 对 他 们 行为 的 诚实 ， 即 参与 交互 的 双方 都 不 能 事后 否 
认 自 己 曾 经 处 理 过 的 每 笔 业务 。 在 这 中 间 ， 人 们 更 关注 的 是 数据 来 源 的 不 可 否认 性 、 发 送 
方 的 不 可 否认 性 ， 以 及 接收 方 在 接收 后 的 不 可 和 否认 性 。 此 外 ， 还 有 传输 的 不 可 和 否认 性 、 创 
建 的 不 可 否认 性 、 同 意 的 不 可 否认 性 等 。 PKI 所 提供 的 不 可 否认 功能 是 基于 数字 签名 ， 以 
及 其 所 提供 的 时 间 惟 服务 功能 的 。 

在 进行 数字 签名 时 ， 签 名 私 钥 只 能 被 签名 者 自己 掌握 ， 系 统 中 的 其 他 参与 实体 无 法 得 


到 该 密 钥 ， 这 样 只 有 签名 者 自己 能 做 出 相应 的 签名 ， 其 他 实体 是 无 法 做 出 这 样 的 签名 的 。 
这 样 ， 签 名 者 从 技术 上 就 不 能 否认 自己 做 过 该 签名 。 为 了 保证 签名 私 钥 的 安全 ， 一 般 要 求 
这 种 密 钥 只 能 在 防 自 改 的 硬件 令 牌 上 产生 ， 并 且 永 远 不 能 离开 令 牌 ， 以 保证 签名 私 钥 的 安全 。 

再 利用 PKI 提供 的 时 间 戳 功能 ， 安 全 时 间 戳 服务 用 来 证 明 某 个 特别 事件 发 生 在 某 个 特 
定 的 时 间 ， 或 某 段 特 别 数据 在 某 个 日 期 已 存在 。 这 样 ， 签 名 者 对 自己 所 做 的 签名 将 无 法 进 
行 否认 。 

4 提供 时 间 戳 服务 

时 间 戳 也 叫做 安全 时 间 戳 ， 是 一 个 可 信 的 时 间 权 威 ， 使 用 一 段 可 以 认证 的 完整 数据 表 
示 的 时 间 锥 。 最 重要 的 不 是 时 间 本 身 的 精确 性 ， 而 是 相关 时 间 、 日 期 的 安全 性 。 支 持 不 可 
否认 服务 的 一 个 关键 因素 就 是 在 PKI 中 使 用 安全 时 间 戳 ， 也 就 是 说 ， 时 间 源 是 可 信 的 ， 时 
间 值 必须 特别 安全 地 传送 。 

PKI 中 必须 存在 用 户 可 信任 的 权威 时 间 源 ， 权 威 时 间 源 提供 的 时 间 并 不 需要 正确 ， 仅 
仅 需 要 用 户 作为 一 个 参照 “时 间 ”， 以 便 完成 基于 PKI 的 事物 处 理 ， 如 事件 A 发 生 在 事件 
B 的 前 面 等 。 一 般 的 PKI 系统 中 都 设置 一 个 时 钟 系统 统一 PKI 的 时 间 。 当 然 ， 也 可 以 使 用 
世界 官方 时 间 源 所 提供 的 时 间 ， 其 实现 方法 是 从 网 络 中 这 个 时 钟 位 置 获 得 安全 时 间 。 要 求 
实体 在 需要 的 时 候 向 这 些 权 威 请 求 在 数据 上 盖 上 时 间 蕉 。 一 份 文档 上 的 时 间 戳 涉及 对 时 间 
和 文档 内 容 的 哈 希 值 的 数字 签名 。 权 威 的 签名 提供 了 数据 的 真实 性 和 完整 性 。 

虽然 安全 时 间 惟 是 PKI 支撑 的 服务 , 但 它 依然 可 以 在 不 依赖 PKI 的 情况 下 实现 安全 时 
间 鹤 服务 。 一 个 PKI 体系 中 是 否 需要 实现 时 间 戳 服务 ， 完 全 依照 应 用 的 需求 来 决定 。 

S， 保 证 数据 的 公正 性 

PKI 中 支持 的 公证 服务 是 指 “ 数 据 认 证 ”也 就 是 说 ， 公 证 人 要 证 明 的 是 数据 的 有 效 性 
和 正确 性 ， 这 种 公证 取决 于 数据 验证 的 方式 。 与 公证 服务 、 一 般 社 会 公证 人 提供 的 服务 有 
所 不 同 ， 在 PKI 中 被 验证 的 数据 是 基于 杂凑 值 的 数字 签名 、 公 钥 在 数学 上 的 正确 性 和 签名 
私 钥 的 合法 性 。 

PKI 的 公证 人 是 一 个 被 其 他 PKI 实体 所 信任 的 实体 ， 能 够 正确 地 提供 公证 服务 。 它 主 
要 是 通过 数字 签名 机 制 证 明 数 据 的 正确 性 ， 所 以 其 他 实体 需要 保存 公证 人 的 验证 公 钥 的 正 
确 拷贝 ， 以 便 验证 和 相信 作为 公证 的 签名 数据 。 

通常 来 说 ，CA 是 证 书 的 签发 机 构 ， 它 是 PKI 的 核心 。 众 所 周知 ， 构 建 密码 服务 系统 
的 核心 内 容 是 如 何 实现 密 钥 的 管理 。 公 钥 体 制 涉及 一 对 密 钥 ( 即 私 钥 和 公 钥 )， 私 钥 只 由 用 
户 独 立 掌握 ， 无 须 在 网 上 传输 ， 而 公 钥 则 是 公开 的 ， 需 要 在 网 上 传送 ， 故 公 钥 体制 的 密 钥 
管理 主要 是 针对 公 钥 的 管理 问题 ， 目 前 较 好 的 解决 方案 是 数字 证 书 机 制 。 


4.10 认证 机 构 


CA (Certificate Authority， 认 证 机 构 ) 是 负责 签发 证 书 、 认 证 证 书 、 管 理 已 颁发 证 书 
的 机 构 ， 是 PKI 的 核心 。CA 要 制定 政策 和 具体 步骤 来 验证 、 识 别 用 户 的 身份 ， 对 用 户 证 
书 进行 签名 ， 以 确保 证 书 持 有 者 的 身份 和 公 钥 的 拥有 权 。CA 也 拥有 自己 的 证 书 ( 内 含 公 
钥 ) 和 私 钥 , 网 上 用 户 通过 验证 CA 的 签字 从 而 信任 CA, 任何 用 户 都 可 以 得 到 CA 的 证 书 ， 
用 以 验证 它 所 签发 的 证 书 。CA 必须 是 各 行业 各 部 门 及 公众 共同 信任 的 、 认 可 的 、 权 威 的 、 
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不 参与 交易 的 第 三 方 网 上 身份 认证 机 构 。 
4.10.1 CA 认证 机 构 的 功能 


1. 证 书 的 颁发 

认证 中 心 接收 、 验 证 用 户 〈 包 括 下 级 认证 中 心 和 最 终 用 户 ) 的 数字 证 书 的 申请 ， 将 申 
请 的 内 容 进 行 备案 ， 并 根据 申请 的 内 容 确定 是 否 受理 该 数字 证 书 申请 。 如 果 认 证 中 心 接受 
该 数字 证 书 申请 ， 则 进一步 确定 给 用 户 颁 发 何 种 类 型 的 证 书 。 新 证 书 用 认证 中 心 的 私 钥 签 
名 以 后 发 送 到 目录 服务 器 供用 户 下 载 和 查询 。 为 了 保证 消息 的 完整 性 ， 返 回 给 用 户 的 所 有 
应 答 信息 都 要 使 用 认证 中 心 的 签名 。 

2. 证 书 的 更 新 

认证 中 心 可 以 定期 更 新 所 有 用 户 的 证 书 ， 或 者 根据 用 户 的 请 求 来 更 新 用 户 的 证 书 。 

3. 证 书 的 查询 

证 书 的 查询 可 以 分 为 两 类 : 其 一 是 证 书 申请 的 查询 ， 认 证 中 心 根据 用 户 的 查询 请 求 返 
回 当前 用 户 证 书 申请 的 处 理 过 程 ; 其 二 是 用 户 证 书 的 查询 , 这 类 查询 由 目录 服务 器 来 完成 ， 
目录 服务 器 根据 用 户 的 请 求 返回 适当 的 证 书 。 

4. 证 书 的 作废 

当 用 户 的 私 钥 由 于 泄密 等 原因 造成 用 户 证 书 需 要 申请 作废 时 ， 用 户 需要 向 认证 中 心 提 
出 证 书 作 废 的 请 求 ， 认 证 中 心 根据 用 户 的 请 求 确定 是 否 将 该 证 书 作 废 。 另 外 一 种 证 书 作废 
的 情况 是 证 书 已 经 过 了 有 效 期 ， 认 证 中 心 自动 将 该 证 书 作 废 。 认 证 中 心 通过 维护 证 书 作 废 
列表 (Certificate Revocation List，CRL) 来 完成 上 述 功 能 。 

S. 证 书 的 归档 

证 书 具 有 一 定 的 有 效 期 ,证书 过 了 有 效 期 之 后 就 将 作废 ， 但 是 不 能 将 作废 的 证 书简 单 
地 丢弃 ， 因 为 有 时 可 能 需要 验证 以 前 的 某 个 交易 过 程 中 产生 的 数字 签名 ， 这 时 就 需要 查询 
作废 的 证 书 。 基 于 此 类 考虑 ， 认 证 中 心 还 应 当 具 备 管理 作 废 证 书 和 作废 私 钥 的 功能 。 


4.10.2 CA 系统 的 组 成 


一 个 典型 的 CA 系统 包括 安全 服务 器 、 注 册 机 构 (RA)、CA 服务 器 、LDAP 目录 服务 
器 、 数 据 库 服务 器 等 ， 如 图 4.12 所 示 。 


用 户 申请 本 


安 | 
上 全 | 
业务 受理 :注册 机 构 (RA) 服 | 
务 |: 
日 器 | 


Sa 


高 准 天 纱 灶 


数据 库 服 务 器 | LADP 服 务 器 数据 库 服务 器 | LADP 服 务 器 
证 书 下 载 或 查询 


证 书 用 户 


4.12 典型 CA 中 心 示意 图 


1. 安全 服务 器 

面向 普通 用 户 ， 用 于 提供 证 书 申请 、 浏 览 、 证 书 撤销 列表 、 证 书 下 载 等 安全 服务 。 安 
全 服务 器 与 用 户 的 通信 采取 安全 信道 方式 (如 SSL 的 方式 , 不 需要 对 用 户 进行 身份 认证 )。 
用 户 首 先 得 到 安全 服务 器 的 证 书 (该 证 书 由 CA 颁发 ), 然后 用 户 与 服务 器 之 间 的 所 有 通信 ， 
包括 用 户 填 写 的 申请 信息 及 浏览 器 生成 的 公 钥 均 以 安全 服务 器 的 密 钥 进行 加 密 传输 ， 只 有 
安全 服务 器 利用 自己 的 私 钥 解密 才能 得 到 明文 ， 这 样 可 以 防止 其 他 人 通过 窃听 得 到 明文 ， 
从 而 保证 了 证 书 申 请 和 传输 过 程 中 的 信息 安全 性 。 

2. CA 服务 器 

CA 服务 器 是 整个 证 书 机 构 的 核心 ,负责 证 书 的 签发 。CA 首先 产生 自身 的 私 钥 和 公 钥 
( 密 钥 长 度 至 少 为 1024 位 )， 然 后 生成 数字 证 书 ， 并 且 将 数字 证 书 传输 给 安全 服务 器 。CA 
还 负责 为 操作 员 、 安 全 服务 器 及 注册 机 构 服务 器 生成 数字 证 书 。 安 全 服务 器 的 数字 证 书 和 
私 钥 也 需要 传输 给 安全 服务 器 。CA 服务 器 是 整个 结构 中 最 为 重要 的 部 分 ， 存 有 CA 的 私 
钥 及 发 行 证 书 的 脚本 文件 ， 出 于 安全 的 考虑 ， 应 将 CA 服务 器 与 其 他 服务 器 隔离 ， 任 何 通 
信 采 用 人 工 干 预 的 方式 ， 确 保 认 证 中 心 的 安全 。 

3. 注册 机 构 

面向 登记 中 心 操 作 员 ， 在 CA 体系 结构 中 起 到 承上启下 的 作用 ， 一 方面 向 CA 转发 安 
全 服务 器 传输 过 来 的 证 书 申 请 请 求 ， 另 一 方面 向 LDAP 服务 器 和 安全 服务 器 转发 CA 颁发 
的 数字 证 书 和 证 书 撤销 列表 。 

4. LDAP 服务 器 

提供 目录 浏览 服务 ， 负 责 将 注册 机 构 服务 器 传输 过 来 的 用 户 信息 及 数字 证 书 加 入 到 服 
务 器 上 。 这 样 ， 其 他 用 户 通过 访问 LDAP 服务 器 就 能 够 得 到 其 他 用 户 的 数字 证 书 。 

S. 数据 库 服务 器 

数据 库 服务 器 是 认证 机 构 中 的 核心 部 分 ， 用 于 认证 机 构 中 数据 (如 密 钥 和 用 户 信 息 
等 )、 日 志和 统计 信息 的 存储 和 管理 。 实 际 的 数据 库 系统 应 采用 多 种 措施 ， 如 磁盘 阵列 、 双 
机 备份 和 多 处 理 器 等 方式 ， 以 维护 数据 库 系统 的 安全 性 、 稳 定性 、 可 伸缩 性 和 高 性 能 。 


4.10.3 国内 CA 现状 


为 促进 电子 商务 在 中 国 的 顺利 开展 ， 一 些 行业 都 已 建成 了 自己 的 一 套 CA 体系 ， 如 中 
国电 信安 全 认证 体系 (CTCA)、 中 国 金融 认证 中 心 (CFCA) 等 ;还 有 一 些 行政 区 也 建立 
了 或 正在 建立 区 域 性 的 CA 体系 ， 如 上 海 电 子 商务 认证 中 心 (SHECA)、 广 东 省 电子 商务 
认证 中 心 (CNCA )、 海 南 省 电子 商务 认证 中 心 CCNCA )、 云 南 省 电子 商务 认证 中 心 
(CNCA) 等 。 

1. 中 国电 信安 全 认证 系统 

中 国电 信 自 1997 年 年 底 开始 在 长 沙 进行 电子 商务 试点 工作 ， 由 长 沙 电 信和 局 负责 组 织 。 
CTCA 是 国内 最 早 的 CA 中 心 。1999 年 8 月 3 日 ， 中 国电 信安 全 认证 系统 通过 国家 密码 委 
员 会 和 信息 产业 部 的 联合 鉴定 ， 并 获得 国家 信息 产品 安全 认证 中 心 颁发 的 认证 证 书 ， 成 为 
首 家 允许 在 公 网 上 运营 的 CA 安全 认证 系统 。 目 前 ， 中 国电 信 可 以 在 全 国 范围 内 向 用 户 提 
供 CA 证 书 服务 。 

中 国电 信安 全 认证 系统 有 一 套 完善 的 证 书 发 放 体系 和 管理 制度 。 体 系 采 用 三 级 管理 结 
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构 : 全 国 CA 安全 认证 中 心 (包括 全 国 CTCA 中 心 、CTCA 湖南 备份 中 心 )， 省 级 RA 中 心 
及 地 市 业务 受理 点 , 在 2000 年 6 月 形成 覆盖 全 国 的 CA 证 书 申请 、 发 放 、 管理 的 完整 体系 。 
系统 为 参与 电子 商务 的 不 同 用 户 提供 个 人 证 书 、 企 业 证 书 和 服务 器 证 书 。 同 时 ， 中 国电 信 
还 组 织 制定 了 《中 国电 信和 电子 商务 总 体 技术 规范 》、《 中 国电 信 CTCA 接口 标准 人 《网 上 支 
付 系统 的 接口 标准 信 《 中 国电 信和 电子 商务 业务 管理 办 法 》 等 ， 而 且 中 国电 信 向 社会 免费 公 
布 CTCA 接口 标准 和 API 软 件 包 ,为 更 多 的 电子 商务 应 用 开发 商 提供 CTCA 的 支持 与 服务 。 
中 国电 信 已 经 与 银行 、 证 券 、 民 航 、 工 商 、 税 务 等 多 个 行业 联合 开发 出 了 网 上 安全 支付 系 
统 、 电 子 缴费 系统 、 电 子 银行 系统 、 电 子 证 券 系统 、 安 全 电子 邮件 系统 、 电 子 订 票 系统 、 
网 上 购物 系统 、 网 上 报税 等 一 系列 基于 中 国电 信安 全 认证 系统 的 电子 商务 应 用 ， 已 经 初步 
建立 起 中 国电 信 电 子 商务 平台 。 

2 Wi pa 
由 中 国人 民 银 行 牵头 ， 联 合 中 国 工商 银行 、 中 国 农业 银行 、 中 国 银行 、 中 国 建设 银行 、 
es 
行 、 民 生 银 行 等 12 家 商业 银行 共同 建设 了 中 国 金 融 认 证 中 心 (China Financial Certificate 
Authority，CFCA)。 中 国 金融 认证 中 心 的 项 目 包括 建设 SET CA 和 Non-SET CA 两 套 系统 ， 
工程 于 1999 年 8 月 30 日 开始 实施 .SET CA 由 IBM 公司 负责 承建 ,Non-SET CA 由 Entrust、 
SUN 和 得 达 创 新 等 公司 联合 建设 。 

Non-SET CA 系统 于 2000 年 1 月 19 日 发 放 了 第 一 批 试验 证 书 ，SET 系统 于 2000 年 3 
月 30 日 试 发 了 第 一 批 证 书 。. 于 2000 年 6 月 20 日 通过 了 由 国家 密码 管理 委员 会 和 人 民 银 行 
支付 科技 司 联合 主持 的 密码 产品 本 地 化 工作 的 安全 性 审查 。 于 2000 年 6 月 29 日 开始 对 社 
会 各 界 提供 证 书 服务 ， 系 统 进入 运行 状态 。 

中 国 金融 认证 中 心 专门 负责 为 金融 业 的 各 种 认证 需求 提供 证 书 服务 ， 包 括 电 子 商务 、 
网 上 银行 、 网 上 证 券 交 易 、 支 付 系统 和 管理 信息 系统 等 ， 为 参与 网 上 交易 的 各 方 提供 安全 
的 基础 ， 建 立 彼此 信任 的 机 制 。 

CFCA 在 建设 过 程 中 ， 因 为 技术 上 的 问题 ， 使 得 正式 发 证 的 时 间 比 以 前 计划 的 时 间 大 
大 推迟 。 因 为 在 操作 上 、 证 书 申请 的 方式 上 还 存在 一 些 问题 ， 因 此 发 放 的 证 书 不 多 。 

3. 国富 安 电 子 商 务 安全 认证 中 心 

国富 安 电 子 商 务 安全 认证 中 心 是 中 国 国际 电子 商务 中 心 下 属 的 专业 从 事 电 子 商 务 及 
信息 安全 的 公司 。 根 据 国家 “人 金 关 工程 ”网 络 发 展 的 需要 ， 负 责 建立 、 维 护 、 管 理 、 运 营 
中 国 国际 电子 商务 安全 认证 中 心 , 并 向 社会 提供 数字 证 书 服务 “商业 电子 信息 安全 认证 系 
统 ” 已 于 1999 年 2 月 通过 国家 科技 部 和 国家 密码 管理 委员 会 的 技术 鉴定 。 

据 了 解 ， 国 富安 电子 商务 安全 认证 中 心 的 建立 是 借助 国外 公司 的 力量 完成 的 ， 国 富安 
电子 商务 安全 认证 中 心 自己 本 身 的 开发 力量 一 直 不 强 ， 因 此 在 它 的 电子 商务 证 书 基础 上 还 
没有 较 多 的 成 功 应 用 ， 国 富安 本 身 在 数字 证 书 的 基础 上 也 没有 完整 的 应 用 软件 。 外 经 贸 部 
在 网 上 的 电子 交易 很 多 ， 但 是 其 认证 系统 并 没有 采用 国富 安 的 证 书 系 统 ， 因 此 其 发 证 量 一 
直 比 较 少 。 

4. 上 海 市 电子 商务 安全 证 书 管理 中 心 

上 海 市 电子 商务 安全 证 书 管理 中 心 由 上 海 市 电子 商务 安全 证 书 管理 中 心 有 限 公司 负 

责 经 营 管理 。 上 海 市 电子 商务 安全 证 书 管理 中 心 属于 上 海 市 政府 。 


SHECA 在 上 海 市 政府 的 大 力 推广 之 下 ， 目 前 发 证 量 相对 来 说 比较 多 ， 并 且 在 1999 年 
和 2000 年 ，SHECA 进行 了 一 些 比较 成 功 的 推广 应 用 。 例 如 ， 东 方 航空 公司 网 上 安全 售票 
系统 、 上 海 热线 的 安全 电子 邮件 服务 、 基 于 SHECA 认证 的 港澳 上 证 证 券 之 星 网 上 证 券 交 
易 系 统 、 上 海 银行 卡 网 络 服务 中 心 支付 网 关 、 上 海 网 上 化 工交 易 中 心 、 基 于 SHECA 安全 
认证 的 企业 名 录 。 在 上 海 市 政府 的 介入 下 ， 要 求 上 海 的 各 家 银行 采用 SHECA 颁发 的 证 书 。 
因此 SHECA 在 上 海 得 到 了 比较 好 的 应 用 。 

另外 ， 还 有 一 些 其 他 的 省 级 电子 商务 认证 中 心 ， 如 北京 市 电子 商务 认证 中 心 、 天 津 市 
电子 商务 认证 中 心 、 云 南 省 电子 商务 认证 中 心 、 山 东 省 电子 商务 认证 中 心 、 湖 南 省 电子 商 
务 认证 中 心 、 湖 北 省 电子 商务 认证 中 心 、 广 东 省 电子 商务 认证 中 心 、 广 西 电子 商务 认证 中 
心 、 海 南 省 电子 商务 认证 中 心 、 山 西 省 电子 商务 认证 中 心 、 吉 林 省 电子 商务 认证 中 心 、 福 
建 省 电子 商务 认证 中 心 、 深 圳 市 电子 商务 认证 中 心 等 。 另 外 ， 我 国 还 有 其 他 一 些 省 市 和 企 
业 机 关 也 在 着 手 建立 自己 的 电子 商务 认证 中 心 ， 特 别 是 一 些 大 型 企业 和 事业 单位 ， 也 使 用 
CA 和 证 书 机 制 来 对 企业 用 户 的 身份 和 权限 进行 认证 和 管理 。 

日前 ， 我国 的 CA 建设 还 处 于 一 个 起 步 的 阶段 ， 没 有 完整 的 统筹 和 协调 ，CA 的 发 展 
还 处 于 各 自 为 政 , 独立 发 展 的 混乱 局 面 , 没有 建立 一 个 政策 上 固定 的 全 国 范围 的 根 CA (如 
美国 的 邮政 CA)， 这 对 处 于 权威 认证 机 构 的 CA 来 说 不 仅 是 基础 设施 的 浪费 ， 也 对 电子 商 
务 中 的 身份 认证 带 来 一 系列 问题 ， 如 交叉 认证 的 互 不 兼容 等 。 相 信 经 过 若干 年 的 发 展 ， 我 
国 的 CA 建设 在 积累 经 验 和 教训 的 基础 上 ， 一 定 会 形成 一 个 全 国 性 的 、 完 整 的 和 层次 性 合 
理 的 CA 基础 设施 ， 真 正 为 我 国 的 电子 商务 发 展 保驾 护航 。 


课 后 习 题 
一 、 选 择 题 
1. 为 了 防御 网 络 监听 ， 最 常用 的 方法 是 〈 3 
A. 采用 物理 传输 〈 非 网 络 ) B. 信息 加 密 
C. 无 线 网 D. 使 用 专线 传输 
2. 下 列 环 节 中 无 法 实现 信息 加 密 的 是 〈 汽 
A. 链 路 加 密 B. 上 传 加 密 
C. 节点 加 密 D. 端 到 端 加 密 
3. 基于 公开 密 钥 密码 体制 的 信息 认证 方法 采用 的 算法 是 〈 入 
A. 素数 检测 B. 非 对 称 算法 
C. RSA 算法 D. 对 称 加 密 算法 
4. RSA 算法 建立 的 理论 基础 是 〈 ) 
A. DES B. 替代 相 组 合 
C. 大 数 分 解 和 素数 检测 D. 哈 希 函数 
5. 防止 他 人 对 传输 的 文件 进行 破坏 需要 (  ” )。 
A. 数字 签名 及 验证 B. 对 文件 进行 加 密 


C. 身份 认证 D. 时 间 截 
6. 下 面 的 机 构 如 果 都 是 认证 中 心 ， 你 认为 可 以 作为 资信 认证 的 是 ( ”)。 
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需 下 愧 


怡 稳 交会 与 管理 (过 -一 猎 ) 


A. 国家 工商 局 B. 著名 企业 
C.， 商务 部 D. 中 国人 民 银 行 
7. PGP 都 随机 产生 一 个 ) 位 的 IDEA 会 话 密 钥 。 
A. 56 B. 64 
Gi D. 128 
8. SHA 的 含义 是 ( ns 
A. 加 密 密 钥 B. 数字 水 印 
C. 常用 的 哈 希 算 法 D. 消息 摘要 
9. 保证 商业 服务 不 可 否认 的 手段 主要 是 De 
A. 数字 水 印 B. 数据 加 密 
C. 身份 认证 D. 数字 签名 
10. DES 加 密 算 法 所 采用 的 密 钥 的 有 效 长 度 为 〈 )。 
pe B. 56 
C. 64 D. 128 
11. 数字 证 书 不 包含 )。 
A. 证 书 的 申请 日 期 B. 颁发 证 书 的 单位 
C. 证 书 拥有 者 的 身份 D. 证 书 拥 有 者 姓名 
12. 数字 签名 是 解决 〈 ) 问题 的 方法 。 
A. 未 经 授权 擅自 访问 网 络 B. 数据 被 汇 或 算 改 
C. 冒名 发 送 数 据 或 发 送 数 据 后 抵赖 D. 以 上 三 种 


13. 在 互联 网 上 ， 不 单纯 使 用 对 称 密 钥 加 密 技 术 对 信息 进行 加 密 是 因为 〈 泥 
A. 对 称 加 密 技术 落后 B. 加 密 技 术 不 成 熟 
C. 密 钥 难 以 管理 D. 人 们 不 了 解 
14. DES 是 一 个 ( ) 加 密 算 法 标准 。 
A. 非 对 称 B. 对 称 
C. PGP D. SSL 
15. 利用 电子 商务 进行 网 上 交易 ， 通 过 ( ) 方式 保证 信息 的 收发 各 方 都 有 足够 的 
证 据 证 明 操作 的 不 可 否认 性 。 
A. 数字 信封 B. 双方 信誉 
C. 数字 签名 D. 数字 时 间 惟 
16. PKI 系统 没有 使 用 的 加 密 算法 是 〈 本 
A. 非 对 称 算法 B. 对 称 算法 
C. 散 列 算法 D. 错乱 算法 
17. 网 上 银行 系统 的 一 次 转账 操作 过 程 中 发 生 了 转账 金额 被 非法 算 改 的 行为 ， 这 破坏 
了 信息 安全 的 ) 属性 。 
A. 保密 性 B. 完整 性 
C. 不 可 否认 性 D. 可 用 性 
18. 用 户 身份 鉴别 是 通过 ( ) 完成 的 。 
A. 口令 验证 B. 审计 策略 


19， 


20. 


2 
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23: 


24. 


25; 


26， 


27. 


C. 存 取 控制 D. 查询 功能 
公 钥 密码 基础 设施 PKI 解决 了 信息 系统 中 的 ( ”) 问题 。 


A. 身份 信任 B. 权限 管理 

C. 安全 审计 D. 加 密 

PKI 所 管理 的 基本 元 素 是 % 

A. 密 钥 B. 用 户 身份 

C. 数字 证 书 D. 数字 签名 

( ) 最 好 地 描述 了 数字 证 书 。 

A. 等 同 于 在 网 络 上 证 明 个 人 和 公司 身份 的 身份 证 

B. 浏览 器 的 一 个 标准 特性 ， 它 使 得 黑客 不 能 得 知 用 户 的 身份 
C. 网 站 要 求 用 户 使 用 用 户 名 和 密码 登录 的 安全 机 制 

D. 伴随 在 线 交 易 证 明 购买 的 收据 

( ) 是 最 常用 的 公 钥 密码 算法 。 

A. RSA B. DSA 

C. 椭圆 曲线 D. 量子 密码 

PKI 的 主要 理论 基础 是 ( 光 

A. 对 称 密码 算法 B. 公 钥 密码 算法 
C. 量子 密码 D. 摘要 算法 

PKI 中 进行 数字 证 书 管理 的 核心 组 成 模块 是 和 5 

A. 注册 中 心 B. 证 书 中 心 

C. 目录 服务 器 D. 证 书 作废 列表 
常用 的 对 称 密码 算法 有 7 

A，ElGamal 算法 B. DES 数据 加 密 标准 
C. 椭圆 曲线 密码 算法 D. RSA 公 钥 加 密 算法 
密码 学 的 目的 是 ( 泥 

A. 研究 数据 加 密 B. 研究 数据 解密 
C. 研究 数据 保密 D. 研究 信息 安全 


假设 使 用 一 种 加 密 算法 , 它 的 加 密 方 法 很 简单 : 将 每 一 个 字母 加 5,， 即 a 加 密 成 f。 
这 种 算法 的 密 钥 就 是 5， 那 么 它 属 于 ( ”) 技术 。 


A. 对 称 加 密 B. 分 组 密码 
C. 公 钥 加 密 D. 单 向 函数 密码 


28. A 方 有 一 对 密 钥 (KA 公开 ，KA 秘密 )，B 方 有 一 对 密 钥 (KB 公开 ，KB 秘密 )， 
A 方向 B 方 发 送 数 字符 名 M， 对 信息 M 加 密 为 : M= KB 公开 (KA 秘密 (M))。B 方 收 
到 密 文 的 解密 方案 是 (。”)。 


29. 


A. KB 公开 (KA 秘密 (M')) B. KA 公开 (KA 公开 (M')) 
C. KA 公开 (KB 秘密 (M')) D. KB 秘密 (KA 秘密 (M')) 


公开 密 钥 密 码 体制 的 含义 是 )。 


A. 将 所 有 密 钥 公开 B. 将 私有 密 钥 公开 ， 公 开 密 钥 保 密 


C. 将 公开 密 钥 公开 ， 私 有 密 钥 保密 


已 


.两 个 密 钥 相同 


每 码 长 大 


才 上 洪 


风疹 人 委 会 与 合理 ( 谎 二 斤 ) 


30. 


数字 签名 要 预先 使 用 单 向 Hash 函数 进行 处 理 的 原因 是 (。 )。 
A. 多 一 道 加 密 工序 使 密 文 更 难 破译 

B. 提高 密 文 的 计算 速度 

C. 缩小 签名 密 文 的 长 度 ， 加 快 数字 签名 和 验证 签名 的 运算 速度 
D. 保证 密 文 能 正确 还 原 成 明文 


31. 基于 通信 双方 共同 拥有 的 但 是 不 为 别人 知道 的 秘密 , 利用 计算 机 强大 的 计算 能 力 ， 
以 该 秘密 作为 加 密 和 解密 的 密 钥 的 认证 是 (。 ”)。 


32; 


335 


34. 


35; 


36. 


3 


38. 


确 的 。 


A. 公 钥 认证 B. 零 知 识 认证 

C. 共享 密 钥 认证 D. 口令 认证 

PKI 支持 的 服务 不 包括 jj 

A. 非 对 称 密 钥 技术 及 证 书 管理 B. 目录 服务 

C. 对 称 密 钥 的 产生 和 分 发 D. 访问 控制 服务 
PKI 的 主要 组 成 不 包括 天 

A. 证 书 授权 (CA) B. SSL 

C. 注册 授权 (RA) D. 证 书 存储 库 (CR) 
PKI 管理 对 象 不 包括 〈 六 

A. ID 和 口令 B. 证 书 

C. 密 钥 D. 证 书 撤销 
下 面 不 属于 PKI 组 成 部 分 的 是 Ns 

A. 证 书 主 体 B. 使 用 证 书 的 应 用 和 系统 
C. 证 书 权 威 机 构 D. AS 


关于 密码 学 的 讨论 中 ， 下 列 ( 。””) 观点 是 不 正确 的 。 

A. 密码 学 是 研究 与 信息 安全 相关 的 方面 ， 如 机 密 性 、 完 整 性 、 实 体 鉴别 、 抗 否 
认 等 的 综合 技术 

B. 密码 学 的 两 大 分 支 是 密码 编码 学 和 密码 分 析 学 

C. 密码 并 不 是 提供 安全 的 单一 手段 ， 而 是 一 组 技术 

D. 密码 学 中 存在 一 次 一 密 的 密码 体制 ， 它 是 绝对 安全 的 

一 个 完整 的 密码 体制 不 包括 以 下 (  ) 要 素 。 


A. 明文 空间 B. 窗 文 空间 
C， 数字 签名 D. 密 钥 空间 


关于 DES 算法 , 除了 ( ) 以 外 ， 下 列 描述 DES 算法 子 密 钥 产 生 过 程 是 正 


A. 首先 将 DES 算法 所 接受 的 输入 密 钥 天 (64 位) 去 除 奇偶 校 验 位 ， 得 到 56 位 
密 钥 〈 即 经 过 PC-1 置换 ， 得 到 56 位 密 钥 ) 

B. 在 计算 第 i 轮 秋 代 所 需 的 子 密 钥 时 ， 首 先进 行 循 环 左 移 , 循环 左 移 的 位 数 取 决 
于 i 的 值 ， 这 些 经 过 循环 移 位 的 值 作为 下 一 次 循环 左 移 的 输入 

C. 在 计算 第 i 轮 秋 代 所 需 的 子 密 钥 时 ， 首 先进 行 循 环 左 移 ， 每 轮 循环 左 移 的 位 数 
都 相同 ， 这 些 经 过 循环 移 位 的 值 作为 下 一 次 循环 左 移 的 输入 

D. 将 每 轮 循环 移 位 后 的 值 经 PC-2 置换 ， 所 得 到 的 置换 结果 即 为 第 i 轮 所 需 的 子 


密 钥 感 


39. 完整 的 数字 签名 过 程 〈 包 括 从 发 送 方 发 送 消 息 到 接收 方 安全 的 接收 到 消息 ) 包 


括 (  ”) 和 验证 过 程 。 
A. 加 密 B. 解密 
C. 签名 D. 保密 传输 


40. 密码 学 在 信息 安全 中 的 应 用 是 多 样 的 ， 以 下 ( ””) 不 属于 密码 学 的 具体 应 用 。 


A. 生成 网 络 协议 

C. 加 密 技 术 ， 保 护 传输 信息 D. 进行 身份 认证 
41. 把 明文 变 成 密 文 的 过 程 叫做 〈 六 

A. 加 密 B. 密 文 

C. 解密 D. 加 密 算法 
42. 关于 密 钥 的 安全 保护 ， 下 列 说 法 不 正确 的 是 〈 站 

A. 私 钥 送 给 CA 

B. 公 钥 送 给 CA 

C. 密 钥 加 密 后 存 入 计算 机 的 文件 中 

D. 定期 更 换 密 钥 
43. ( ) 在 CA 体系 中 提供 目录 浏览 服务 。 

A. 安全 服务 器 B. CA 服务 器 

C. 注册 机 构 (RA) D. LDAP 服务 器 


44. 通常 为 保证 信息 处 理 对 象 的 认证 性 采用 的 手段 是 〈 
A. 信息 加 密 和 解密 B. 信息 隐匿 
C. 数字 签名 和 身份 认证 技术 D. 数字 水 印 
45. 以 下 ) 不 在 证 书 数据 的 组 成 中 。 
A. 版 本 信息 B. 有效 使 用 期 限 
C. 签名 算法 D. 版 权 信 息 
46. 网 络 安全 的 最 后 一 道 防线 是 〈 )。 
A. 数据 加 密 B. 访问 控制 
C. 接 入 控制 D. 身份 识别 
二 、 填 空 题 


)。 


B. 消息 认证 ， 确 保 信 息 完整 性 


1. 密码 是 通信 双方 按 约定 的 法 则 进行 信息 特殊 变换 的 一 种 重要 保密 手段 。 依 照 这 些 


法 则 ， 变 明文 为 密 文 ， 称 为 变换 ， 变 密 文 为 明文 ， 称 为 


2. 密码 学 是 研究 如 何 传递 信息 的 学 科 。 
3. 进行 明 密 变换 的 法 则 称 为 密码 的 


变换 。 


4. 在 密码 体制 中 ， 按 照 规定 的 图 形 和 线路 ， 改 变 明文 字母 或 数码 等 的 位 置 成 为 密 文 


的 方法 称 为 ; 用 一 个 或 多 个 代替 表 将 明文 字母 或 数码 等 代替 为 密 文 的 方法 称 
为 ; 用 预先 编 定 的 字母 或 数字 密码 组 代替 一 定 的 词组 单词 等 变 明文 为 密 文 的 方法 


称 为 
变 成 密 文 的 方法 称 为 _。 
5. 古典 密码 中 主要 包括 和 。 


; 用 有 限 元 素 组 成 的 一 串 序列 作为 乱 数 ， 按 规定 的 算法 ， 同 明文 序列 相 结合 


倪 码 长 大 


才 上 滤 


风疹 人 委 会 与 合理 ( 谎 二 把 ) 


6. 目前 基于 文本 的 隐藏 技术 包括 蔡 换 、 字 《〈 行 ) 编码 及 字符 特 


征 编 码 等 。 

7.《 保 密 系统 的 信息 理论 》 一 文中 提出 的 主要 观点 是 数据 安全 基于 而 不 
是 的 保密 ， 它 标志 着 密码 学 阶段 的 开始 。 

8. 在 密码 学 中 ， 有 一 个 五 元 组 : 明文 、 『 、_  、 加 密 算法 、 解 密 算法 ， 
对 应 的 加 密 方案 称 为 

9. 一 个 完整 的 密码 系统 由 密码 体制 (包括 密码 算法 及 所 有 可 能 的 明文 、 密 文 和 密 
钥 )、 和 攻击 者 构成 。 

10. 密码 编码 系统 按照 明文 变换 到 密 文 的 操作 类 型 可 分 为 和 

11. 密码 编码 系统 按照 所 用 的 密 钥 数 量 可 分 为 和 

12. 密码 编码 系统 按照 明文 被 处 理 的 方式 可 分 为 和 

13. 和 典型 的 哈 希 算法 包括 MD2、MD4、_ _ 和 

14. 基于 数字 证 书 的 应 用 角度 分 类 ， 数 字 证 书 可 以 分 为 以 下 几 种 : 服务 器 证 书 、 

和 
15. PKI 系统 所 有 的 安全 操作 都 是 通过 来 实现 的 。 


16. 密码 技术 的 分 类 有 很 多 种 ， 其 中 对 称 密码 体制 又 可 分 为 按 字 符 逐 位 加 密 
和 按 固 定数 据 块 大 小 加 密 的 
17. 密码 系统 的 安全 性 取决 于 用 户 对 于 密 钥 的 保护 ， 实 际 应 用 中 的 密 钥 种 类 有 很 多 ， 
从 密 钥 管理 的 角度 可 以 分 为 、 密 钥 加 密 密 钥 和 6 
DES 数据 加 密 标准 是 加 密 系统 ，RSA 是 加密 系 统 。 
、 简 答题 
.密码 体制 的 基本 类 型 有 哪儿 种 ? 
.密码 学 的 发 展 大致 可 以 分 为 哪儿 个 阶段 ? 
. 简 述 ADFGX 密码 的 工作 原理 。 
. 根据 信息 载体 的 不 同 ， 隐 写 术 主要 有 哪些 方面 的 应 用 ? 
.密码 学 在 网 络 信 息 安 全 中 有 哪些 作用 ? 
.密码 分 析 分 为 哪儿 种 情形 ? 
.密码 学 的 基本 功能 有 哪些 ? 
.对 称 密码 算法 的 优 缺 点 有 哪些 ? 
. 公 钥 加 密 系 统 可 提供 哪些 功能 ? 
. 简 述 RSA 算法 的 工作 原理 。 
. PGP 中 的 密 钥 证 书 一 般 包 含 哪些 内 容 ? 
.软件 加 密 的 方法 有 哪些 ? 
. 硬件 加 密 具 有 哪儿 个 特点 ? 
- 数字 签名 主要 的 功能 有 哪些 ? 
.数字 签名 的 主要 流程 有 哪些 ? 
. PKI 的 基本 组 成 包括 哪些 系统 ? 
.PKI 的 安全 服务 功能 有 哪些 ? 
. CA 认证 机 构 的 功能 有 哪些 ? 


的 


有 


己 


产 一 二 一 一 一 一 一 
oo ~ 了 wm 于 


19. CA 系统 的 组 成 有 哪些 ? 


20. 具有 个 节点 的 网 络 如 果 使 用 公开 密 钥 密码 算法 ， 每 个 节点 的 密 钥 有 多 少 ? 网 络 


中 的 密 钥 共有 多 少 ? 


21. 用 户 A 需要 通过 计算 机 网 络 安全 地 将 一 份 机 密 文件 传送 给 用 户 B， 请 问 如 何 实 现 ? 
22. 古典 密码 体制 中 代 换 密码 有 哪 几 种 ? 各 有 什么 特点 ? 
23. 描述 说 明 DES 算法 的 加 解密 过 程 〈 也 可 以 画图 说 明 )。 


倪 码 长 大 
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第 5 章 病毒 技术 


S.1.1 计算 机 病毒 的 定义 


计算 机 病毒 (Computer Virus) 在 《中 华人 民 共 和 国 计 算 机 信息 系统 安全 保护 条 例 》 中 
被 明确 定义 ， 病 毒 是 指 “编制 或 者 在 计算 机 程序 中 插入 的 破坏 计算 机 功能 或 者 破坏 数据 ， 
影响 计算 机 使 用 并 且 能 够 自我 复制 的 一 组 计算 机 指令 或 者 程序 代码 ”。 

病毒 往往 会 利用 计算 机 操作 系统 的 弱点 进行 传播 ， 提 高 系统 的 安全 性 是 防 病毒 的 一 个 
重要 方面 。 完 美的 系统 是 不 存在 的 ， 过 于 强调 提高 系统 的 安全 性 将 使 系统 多 数 时 间 用 于 病 
毒 检查 ， 系 统 失去 了 可 用 性 、 实 用 性 和 易 用 性 。 另 一 方面 ， 信 息 保密 的 要 求 让 人 们 在 泄密 
和 抓 住 病毒 之 间 无 法 选择 。 病 毒 与 反 病毒 将 作为 一 种 技术 对 抗 长 期 存在 ， 两 种 技术 都 将 随 
计算 机 技术 的 发 展 而 得 到 长 期 的 发 展 。 

病毒 不 是 来 源 于 突 发 或 偶然 的 原因 。 一 次 突 发 的 停电 和 偶然 的 错误 会 在 计算 机 的 磁盘 
和 内 存 中 产生 一 些 乱码 和 随机 指令 ， 但 这 些 代码 是 无 序 和 混乱 的 。 而 病毒 是 一 种 比较 完美 
的 、 精 巧 严谨 的 代码 ， 按 照 严 格 的 秩序 组 织 起 来 ， 与 所 在 的 系统 网 络 环境 相 适应 和 配合 起 
来 的 代码 。 病 毒 不 会 通过 偶然 形成 ， 其 代码 本 身 需要 有 一 定 的 长 度 ， 这 个 基本 的 长 度 从 概 
率 上 来 讲 是 不 可 能 通过 随机 代码 产生 的 。 现 在 流行 的 病毒 是 由 人 故意 编写 的 ， 多 数 病毒 可 
以 找到 作者 和 产地 信息 。 从 大 量 的 统计 分 析 来 看 ， 病 毒 作者 的 主要 情况 和 目的 是 : 一 些 天 
才 的 程序 员 为 了 表现 自己 和 证 明 自己 的 能 力 ， 对 上 司 的 不 满 、 好 奇 、 报 复 、 为 了 祝贺 和 求 
爱 、 为 了 得 到 控制 口令 、 为 了 软件 拿 不 到 报酬 而 预 留 的 陷阱 等 。 当 然 ， 也 有 因 政 治 、 军 事 、 
宗教 、 民 族 、 专 利 等 方面 的 需求 而 专门 编写 的 ， 其 中 也 包括 一 些 病毒 研究 机 构 和 黑客 的 测 
试 病毒 。 
5.1.2 计算 机 病毒 的 特点 


计算 机 病毒 具有 以 下 几 个 特点 : 

(1) 寄生 性 。 计 算 机 病毒 寄生 在 其 他 程序 之 中 ， 当 执行 这 个 程序 时 ， 病 毒 就 起 破坏 作 
用 ， 而 在 未 启动 这 个 程序 之 前 ， 它 是 不 易 被 人 发 觉 的 。 

(2) 传染 性 。 计 算 机 病毒 不 但 本 身 具 有 破坏 性 ， 更 有 害 的 是 具有 传染 性 ， 一 旦 病毒 被 
复制 或 产生 变种 ， 其 速度 之 快 令 人 难以 预防 。 传 染 性 是 病毒 的 基本 特征 。 在 生物 界 ， 病 毒 
通过 传染 从 一 个 生物 体 扩散 到 另 一 个 生物 体 。 在 适当 的 条 件 下 ， 它 可 得 到 大 量 繁 殖 ， 并 使 
被 感染 的 生物 体 表现 出 病症 甚至 死亡 。 同 样 ， 计 算 机 病毒 也 会 通过 各 种 渠道 从 已 被 感染 的 
计算 机 扩散 到 未 被 感染 的 计算 机 ， 在 某 些 情况 下 造成 被 感染 的 计算 机 工作 失常 甚至 瘫痪 。 


与 生物 病毒 不 同 的 是 ， 计 算 机 病毒 是 一 段 人 为 编制 的 计算 机 程序 代码 ， 这 段 程序 代码 一 旦 
进入 计算 机 并 得 以 执行 ， 它 就 会 搜寻 其 他 符合 其 传染 条 件 的 程序 或 存储 介质 ， 确 定 目标 后 
再 将 自身 代码 插入 其 中 ， 达 到 自我 繁殖 的 目的 。 只 要 一 台 计 算 机 染 毒 ， 如 不 及 时 处 理 ， 那 
么 病毒 会 在 这 台 机 子 上 迅速 扩散 ， 其 中 的 大 量 文件 〈 一 般 是 可 执行 文件 ) 会 被 感染 。 而 被 
感染 的 文件 又 成 了 新 的 传染 源 ， 再 与 其 他 机 器 进行 数据 交换 或 通过 网 络 接触 ， 病 毒 会 继续 
进行 传染 。 正 常 的 计算 机 程序 一 般 是 不 会 将 自身 的 代码 强行 连接 到 其 他 程序 之 上 的 ， 而 病 
毒 却 能 使 自身 的 代码 强行 传染 到 一 切 符合 其 传染 条 件 的 未 受到 传染 的 程序 之 上 。 计 算 机 病 
毒 可 通过 各 种 可 能 的 渠道 ， 如 软盘 、 计 算 机 网 络 去 传染 其 他 的 计算 机 。 当 在 一 台 计 算 机 上 
发 现 了 病毒 时 ， 往 往 曾 在 这 台 计 算 机 上 用 过 的 软盘 已 感染 上 了 病毒 ， 而 与 这 台 计 算 机 联网 
的 其 他 计算 机 也 许 也 被 该 病毒 感染 上 了 。 是 否 具有 传染 性 是 判别 一 个 程序 是 否 为 计算 机 病 
毒 的 最 重要 条 件 。 病 毒 程序 通过 修改 磁盘 扇 区 信息 或 文件 内 容 并 把 自身 杠 入 到 其 中 的 方法 
达到 病毒 的 传染 和 扩散 。 被 嵌入 的 程序 叫做 宿主 程序 。 

(3) 潜伏 性 。 有 些 病毒 像 定时 炸弹 一 样 ， 让 它 什么 时 间 发 作 是 预先 设计 好 的 。 例 如 ， 
“黑色 星期 五 ”病毒 , 不 到 预定 时 间 一 点 都 觉察 不 出 来 , 等 到 条 件 具 备 的 时 候 一 下 子 就 爆发 
了 ， 对 系统 进行 破坏 。 一 个 编制 精巧 的 计算 机 病毒 程序 进入 系统 之 后 一 般 不 会 马上 发 作 ， 
可 以 在 几 周 或 者 几 个 月 内 甚至 几 年 内 隐藏 在 合法 文件 中 ， 对 其 他 系统 进行 传染 ， 而 不 被 人 
发 现 ， 潜 伏 性 越 好 ， 其 在 系统 中 的 存在 时 间 就 会 越 长 ， 病 毒 的 传染 范围 就 会 越 大 。 潜 伏 性 
的 第 一 种 表现 是 指 病毒 程序 不 用 专用 检测 程序 是 检查 不 出 来 的 ， 因 此 病毒 可 以 静 静 地 躲 在 
磁盘 或 磁带 里 待 上 几 天 ， 甚 至 几 年 ， 一 旦 时 机 成 熟 ， 得 到 运行 机 会 ， 就 又 要 四 处 繁殖 、 扩 
散 ， 继 续 为 害 ， 潜 伏 性 的 第 二 种 表现 是 指 计算 机 病毒 的 内 部 往往 有 一 种 触发 机 制 ， 不 满足 
触发 条 件 时 ， 计 算 机 病毒 除了 传染 外 不 做 什么 破坏 。 触 发 条 件 一 旦 得 到 满足 ， 有 的 在 屏幕 
上 显示 信息 、 图 形 或 特殊 标识 ， 有 的 则 执行 破坏 系统 的 操作 ， 如 格式 化 磁盘 、 删 除 磁 盘 文 
件 、 对 数据 文件 做 加 密 、 封 锁 键盘 及 使 系统 死 锁 等 。 

(4) 隐蔽 性 。 计 算 机 病毒 具有 很 强 的 隐蔽 性 ， 有 的 可 以 通过 病毒 软件 检查 出 来 ， 有 的 
根本 就 查 不 出 来 ， 有 的 时 隐 时 现 、 变 化 无 常 ， 这 类 病毒 处 理 起 来 通常 很 困难 。 

(5) 破坏 性 。 计 算 机 中 毒 后 ， 可 能 会 导致 正常 的 程序 无 法 运行 ， 计 算 机 内 的 文件 被 删 
除 或 受到 不 同 程度 的 损坏 。 

(6) 可 触发 性 。 病 毒 因 某 个 事件 或 数值 的 出 现 ， 诱 使 病毒 实施 感染 或 进行 攻击 的 特性 
称 为 可 触发 性 。 为 了 隐蔽 自己 ， 病 毒 必须 潜伏 ， 少 做 动作 。 如 果 完 全 不 动 ， 一直 潜伏 的 话 ， 
病毒 既 不 能 感染 也 不 能 进行 破坏 ， 便 失去 了 杀伤 力 。 病 毒 既 要 隐蔽 又 要 维持 杀伤 力 ， 它 必 
须 具 有 可 触发 性 。 病 毒 的 触发 机 制 就 是 用 来 控制 感染 和 破坏 动作 的 频率 。 病 毒 具 有 预定 的 
触发 条 件 ， 这 些 条 件 可 能 是 时 间 、 日 期 、 文 件 类 型 或 某 些 特定 数据 等 。 病 毒 运行 时 ， 触 发 
机 制 检查 预定 条 件 是 否 满足 ， 如 果 满足 ， 启 动感 染 或 破坏 动作 ， 使 病毒 进行 感染 或 攻击 ; 
如 果 不 满足 ， 使 病毒 继续 潜伏 。 


5.1.3 计算 机 病毒 分 类 
根据 计算 机 病毒 属性 进行 如 下 分 类 : 


(1) 根据 病毒 存在 的 媒体 进行 分 类 ， 病 毒 可 以 划分 为 网 络 病毒 、 文 件 病毒 、 引 导 型 
病毒 。 


兰 受 失 大 
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@ 网 络 病毒 。 通 过 计算 机 网 络 传播 感染 网 络 中 的 可 执行 文件 。 

@ 文件 病毒 。 感染 计算 机 中 的 文件 (如 COM、EXE、DOC 等 )。 

@ 引导 型 病毒 。 感染 启动 扇 区 (Boot) 和 硬盘 的 系统 引导 扇 区 (MBR)。 

还 有 这 三 种 情况 的 混合 型 ， 如 多 型 病毒 〈 文 件 和 引导 型 ) 感染 文件 和 引导 扇 区 两 种 目 
标 ， 这 样 的 病毒 通常 都 具有 复杂 的 算法 ， 它 们 使 用 非常 规 的 办 法 侵入 系统 ， 同 时 使 用 了 加 
密 和 变形 算法 。 

(2) 按照 计算 机 病毒 传染 的 方法 进行 分 类 ， 可 分 为 驻 留 型 病毒 和 非 驻 留 型 病毒 。 

@ 驻 留 型 病毒 。 感 染 计 算 机 后 ， 把 自身 的 内 存 驻 留 部 分 放 在 内 存 (RAM) 中 ， 这 一 
部 分 程序 挂 接 系统 调用 并 合并 到 操作 系统 中 去 , 它 处 于 激活 状态 , 一 直到 关机 或 重新 启动 。 

@ 非 驻 留 型 病毒 。 在 得 到 机 会 激活 时 并 不 感染 计算 机 内 存 ， 另 外 一 些 病 毒 在 内 存 中 
留 有 小 部 分 ， 但 是 并 不 通过 这 一 部 分 进行 传染 ， 这 类 病毒 也 被 划 归 为 非 驻 留 型 病毒 。 

(3) 根据 病毒 破坏 的 能 力 可 划分 为 以 下 几 种 : 

@ 无 害 型 。 除 了 传染 时 减少 磁盘 的 可 用 空间 外 ， 对 系统 没有 其 他 影响 。 

@ 无 危险 型 。 这 类 病毒 仅仅 是 减少 内 存 、 显 示 图 像 、 发 出 声音 及 同类 音响 。 

@ 危险 型 。 这 类 病毒 在 计算 机 系统 操作 中 造成 严重 的 错误 。 

@ 非常 危险 型 。 这 类 病毒 删除 程序 、 破 坏 数 据 、 清 除 系统 内 存 区 和 操作 系统 中 重要 
的 信息 。 

这 些 病毒 对 系统 造成 的 危害 并 不 是 本 身 的 算法 中 存在 危险 的 调用 ， 而 是 当 它们 传染 时 
会 引起 无 法 预料 的 和 灾难 性 的 破坏 。 由 病毒 引起 其 他 程序 产生 的 错误 也 会 破坏 文件 和 扇 区 ， 
这 些 病毒 也 按照 引起 的 破坏 能 力 划分 。 一 些 现在 的 无 害 型 病毒 也 可 能 会 对 新 版 的 DOS、 
Windows 和 其 他 操作 系统 造成 破坏 。 例 如 , 在 早期 的 病毒 中 , 有 一 个 Denzuk 病毒 在 360KB 
磁盘 上 很 好 的 工作 ， 不 会 造成 任何 破坏 ， 但 是 在 后 来 的 高 密度 软盘 上 却 能 引起 大 量 的 数据 
丢失 。 

(4) 根据 病毒 特有 的 算法 ， 病 毒 可 以 划分 为 : 

@ 伴随 型 病毒 。 这 一 类 病毒 并 不 改变 文件 本 身 ， 它 们 根据 算法 产生 EXE 文件 的 伴随 
体 ， 有 具有 同样 的 名 字 和 不 同 的 扩展 名 (COM)， 例 如 XCOPY. EXE 的 伴随 体 是 
XCOPY. COM。 病毒 把 自身 写 入 COM 文件 并 不 改变 EXE 文件 ， 当 DOS 加 载 文件 时 ， 伴 
随 体 优先 被 执行 ， 再 由 伴随 体 加 载 执行 原来 的 EXE 文件 。 

@“ 蠕 虫 ” 型 病毒 。 通 过 计算 机 网 络 传播 ， 不 改变 文件 和 资料 信息 ， 利 用 网 络 从 一 台 
机 器 的 内 存 传播 到 其 他 机 器 的 内 存 ， 计 算 网 络 地 址 ， 将 自身 的 病毒 通过 网 络 发 送 。 有 时 它 
们 在 系统 中 存在 ， 一 般 除 了 内 存 不 占用 其 他 资源 。 

@ 寄生 型 病毒 。 除 了 伴随 和 “蠕虫 ”型 外 ， 其 他 病毒 均 可 称 为 寄生 型 病毒 ， 它 们 依 
附 在 系统 的 引导 扇 区 或 文件 中 ， 通 过 系统 的 功能 进行 传播 。 

@ 诡秘 型 病毒 。 它 们 一 般 不 直接 修改 DOS 中 断 和 扇 区 数据 ， 而 是 通过 设备 技术 和 文 
件 缓冲 区 等 DOS 内 部 修改 ， 不 易 看 到 资源 ， 使 用 比较 高 级 的 技术 。 利 用 DOS 空闲 的 数据 
区 进行 工作 。 

@ 变型 病毒 〈 又 称 为 幽灵 病毒 )。 这 一 类 病毒 使 用 一 个 复杂 的 算法 ， 使 自己 每 传播 一 
份 都 具有 不 同 的 内 容 和 长 度 。 它 们 一 般 的 作法 是 由 一 段 混 有 无 关 指令 的 解码 算法 和 被 变化 
过 的 病毒 体 组 成 。 


S.1.4 计算 机 病毒 的 发 展 史 


1. 计算 机 病毒 的 雏形 

1949 年 ， 计 算 机 之 父 约翰 。 冯 。 诺 依 曼 在 《复杂 自动 机 组 织 》 一 书 中 提出 了 计算 机 程 
序 能 够 在 内 存 中 自我 复制 。10 年 之 后 ， 在 美国 的 贝尔 实验 室 ， 程 序 员 们 利用 闲暇 时 间 编 写 
了 一 种 能 吃 掉 其 他 程序 的 程序 ， 并 让 其 互相 攻击 作为 消 遗 。 例 如 有 一 个 叫 “ 扑 行者 
(Creeper)” 的 程序 ， 每 一 次 执行 都 会 自动 生成 一 个 副本 ， 很 快 计算 机 中 原 有 的 资料 就 会 被 
这 “有 的 行者 ”侵蚀 ， 又 如 “侏儒 Dwarf)” 程 序 ， 它 可 以 在 记忆 系统 中 行进 ， 每 到 第 5 个 
“地 址 ” 便 把 那里 所 储存 的 信息 全 部 清除 , 严重 损坏 原本 的 程序 ; 还 有 一 个 叫 “ 小 恶魔 (Imp)” 
的 程序 ， 它 只 有 一 行 移动 指 令 一 一 MOV 0，1， 然 而 这 条 移动 指令 可 以 把 程序 身 处 地 址 中 
所 载 的 0 写 入 下 一 行 地 址 当中 ， 以 臻 最 后 计算 机 中 所 有 的 指令 都 被 改 为 MOV 0，1， 最 终 
导致 系统 瘫痪 。 因 为 这 些 神奇 的 程序 都 在 计算 机 的 记忆 磁 芯 中 进行 ， 因 此 这 次 实验 得 到 了 
“ 磁 芯 大 战 ”之 名 。 这 些 程序 已 经 具备 了 一 定 的 破坏 性 和 传染 性 ， 成 为 计算 机 病毒 的 外形 。 

2. 第 一 个 计算 机 病毒 

1987 年 ， 巴 基 斯 坦 盗 拷 软件 的 风气 盛行 一 时 ， 一 对 经 营 贩卖 个 人 计算 机 的 巴基斯坦 兄 
弟 巴 斯 特 (Basit) 和 阿 姆 捷 特 〈Amjad) 为 了 防止 他 们 的 软件 被 任意 盗 拷 ， 编 写 出 了 一 个 
叫做 C-BRAIN 的 程序 。 只 要 有 人 盗 拷 他 们 的 软件 ，C-BRAIN 就 会 改作 ， 将 盗 拷 者 的 剩余 
硬盘 空间 给 “ 吃 掉 ”。 虽然 在 当时 这 个 病毒 并 没有 太 大 的 破坏 性 , 但 许多 有 心 的 同行 以 此 为 
蓝图 ， 衍生 制作 出 一 些 该 病毒 的 “变种 ”， 以 此 为 契机 ， 许 多 个 人 或 团队 创作 的 新 型 病毒 如 
雨后春笋 似 的 纷纷 涌现 。 因 此 ， 业 界 公 认 C-BRAIN 是 真正 具备 完整 特征 的 计算 机 病毒 
始祖 。 

3， 第 一 代 计 算 机 病毒 

习惯 上 人 们 一 般 称 之 为 DOS 时 期 病毒 。1987 年 ， 计 算 机 病毒 主要 是 引导 型 病毒 ， 具 
有 代表 性 的 是 “小 球 ” 和 “石头 ”病毒 。 当 时 的 计算 机 硬件 较 少 ， 功 能 简单 ， 一 般 需 要 通 
过 软盘 启动 后 使 用 。 引 导 型 病毒 利用 软盘 的 启动 原理 工作 ， 它 们 修改 系统 启动 扇 区 ， 在 计 
算 机 启动 时 首先 取得 控制 权 ， 减少 系 统 内 存 ， 修 改 磁盘 读 写 中 断 ， 影 响 系统 工作 效率 ， 在 
系统 存 取 磁盘 时 进行 传播 。1989 年 ， 可 执行 文件 型 病毒 出 现 ， 它 们 利用 DOS 系统 加 载 执 
行文 件 的 机 制 工作 ， 代 表 为 “耶路撒冷 "“ 星 期 天 ”病毒 ， 病 毒 代码 在 系统 执行 文件 时 取 
得 控制 权 , 修改 DOS 中 断 ， 在 系统 调用 时 进行 传染 ， 并 将 自己 附加 在 可 执行 文件 中 ， 使 文 
件 长 度 增 加 。1990 年 发 展 为 复合 型 病毒 ， 可 感染 COM 和 EXE 文件 。1992 年 ， 伴 随 型 病 
毒 出 现 ， 它 们 利用 DOS 加 载 文件 的 优先 顺序 进行 工作 ， 具 有 代表 性 的 是 “ 金 蝉 ”病毒 ， 它 
感染 EXE 文件 时 生成 一 个 和 EXE 同名 但 扩展 名 为 COM 的 伴随 体 。 这 样 ， 在 DOS 加 载 文 
件 时 ， 病 毒 就 取得 控制 权 。1994 年 ， 随 着 汇编 语言 的 发 展 ， 实 现 同一 功能 可 以 用 不 同 的 方 
式 进 行 完 成 ， 这 些 方 式 的 组 合 使 得 一 段 看 似 随 机 的 代码 产生 相同 的 运算 结果 。 幽 灵 病 毒 就 
是 利用 这 个 特点 ， 每 感染 一 次 就 产生 不 同 的 代码 。 例 如 “一 半 ” 病 毒 就 是 产生 一 段 有 上 亿 
种 可 能 的 解码 运算 程序 ， 病 毒 体 被 隐藏 在 解码 前 的 数据 中 ， 查 解 这 类 病毒 就 必须 能 对 这 段 
数据 进行 解码 ， 加 大 了 查 毒 的 难度 。 

DOS 时 期 病毒 种 类 相当 繁杂 , 不 断 有 人 改写 现 有 的 病毒 。 到 了 后 期 甚至 有 人 写 出 所 谓 
的 “ 双 体 引擎 ” 可 以 把 一 种 病毒 创造 出 更 多 元 化 的 面貌 ， 让 人 防不胜防 。 而 病毒 发 作 的 症 
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状 更 是 各 式 各 样 ， 有 的 会 唱歌 、 有 的 会 删除 文件 、 有 的 会 格式 化 硬盘 、 有 的 还 会 在 屏幕 上 
显示 出 各 式 各 样 的 图 形 与 音效 。 不 过 幸运 的 是 , 这 些 DOS 时 期 的 病毒 ， 由 于 大 部 分 的 杀毒 
软件 都 可 以 轻易 地 扫除 ， 因 此 杀伤 力 已 经 大 不 如 前 了 。 

4. 第 二 代 计 算 机 病毒 

自从 互联 网 的 出 现 ， 基 于 网 络 的 计算 机 病毒 开始 迅猛 发 展 。 这 种 新 的 病毒 由 于 本 质 上 
与 传统 病毒 有 着 本 质 区 别 ， 因 此 称 之 为 第 二 代 计 算 机 病毒 。 第 二 代 病 毒 与 第 一 代 病 毒 最 大 
的 差异 就 在 于 第 二 代 病 毒 传染 的 途径 是 基于 浏览 器 的 。 为 了 方便 网 页 设计 者 在 网 页 上 能 制 
造 出 更 精彩 的 动画 , 让 网 页 能 更 有 空间 感 , 几 家 大 公司 联手 制定 出 ActiveX 及 Java 的 技术 。 
而 透 过 这 些 技术 ， 甚 至 能 够 分 辨 使 用 的 软件 版 本 ， 建 议 应 该 下 载 哪些 软件 来 更 新 版 本 ， 对 
于 大 部 分 的 一 般 使 用 者 来 说 是 颇 为 方便 的 工具 。 但 车 想 让 这 些 网 页 的 动画 能 够 正常 执行 ， 
浏览 器 会 自动 将 这 些 ActiveX 及 Java Applets 的 程序 下 载 到 硬盘 中 。 在 这 个 过 程 中 , 恶性 程 
序 的 开发 者 也 就 利用 同样 的 渠道 ， 经 由 网 络 渗 透 到 个 人 计算 机 之 中 了 。 这 就 是 目前 流行 的 
“第 二 代 病 毒 ” 也 就 是 所 谓 的 “网 络 病毒 ”。 

而 今 ， 随 着 现在 电子 邮件 被 用 作 一 个 重要 的 企业 通信 工具 ， 病 毒 就 比 以 往 任何 时 候 都 
要 扩展 得 快 。 附 着 在 电子 邮件 信息 中 的 病毒 ， 仅 仅 在 几 分 钟 内 就 可 以 浸染 整个 企业 ， 让 公 
司 每 年 在 生产 损失 和 清除 病毒 开销 上 花费 数 百 万 美元 。 今 后 任何 时 候 病 毒 都 不 会 很 快 地 消 
失 。 按 美国 国家 计算 机 安全 协会 发 布 的 统计 资料 ， 已 有 超过 数 万 种 病毒 被 辨认 出 来 ， 而 且 
每 个 月 都 在 产生 几 百 至 几 千 种 新 型 病毒 。 为 了 安全 ， 可 以 说 大 部 分 机 构 必 须 常 规 性 地 对 付 
病毒 的 突然 爆发 。 没 有 一 个 使 用 多 台 计 算 机 的 机 构 是 对 病毒 免疫 的 。 


5S.1.5 共 他 的 破坏 行为 


计算 机 病毒 的 破坏 行为 体现 了 病毒 的 杀伤 能 力 。 病 毒 破坏 行为 的 激烈 程度 取决 于 病毒 
作者 的 主观 愿望 和 所 具有 的 技术 能 力 。 数 以 万 计 不 断 发 展 扩张 的 病毒 ， 其 破坏 行为 千 奇 百 
怪 ， 不 可 能 穷 举 其 破坏 行为 ， 而 且 难 以 做 全 面 的 描述 。 根 据 现 有 的 病毒 资料 可 以 把 病毒 的 
破坏 目标 和 攻击 部 位 归纳 如 下 : 

(1) 攻击 系统 数据 区 。 攻 击 部 位 包括 硬盘 主 引导 扇 区 、Boot 扇 区 、EFAT 表 、 文 件 目录 
等 。 一 般 来 说 ， 攻 击 系统 数据 区 的 病毒 是 恶性 病毒 ， 受 损 的 数据 不 易 恢复 。 

(2) 攻击 文件 。 病 毒 对 文件 的 攻击 方式 很 多 ， 可 列举 如 下 : 删除 、 改 名 、 替 换 内 容 、 
丢失 部 分 程序 代码 、 内 容 颠 倒 、 写 入 时 间 空 白 、 变 碎片 、 假 冒 文件 、 丢 失 文件 徐 、 丢 失 数 
据 文件 等 。 

(3) 攻击 内 存 。 内 存 是 计算 机 的 重要 资源 ， 也 是 病毒 攻击 的 主要 目标 之 一 ， 病 毒 额外 
地 占用 和 消耗 系统 的 内 存 资 源 ， 可 以 导致 一 些 较 大 的 程序 难以 运行 。 病 毒 攻击 内 存 的 方式 
如 下 : 占用 大 量 内 存 、 改 变 内 存 总 量 、 禁 止 分 配 内存 、 午 食 内 存 等 。 

(4) 干扰 系统 运行 。 此 类 型 病毒 会 干扰 系统 的 正常 运行 ， 以 此 作为 自己 的 破坏 行为 。 
此 类 行为 也 是 花样 繁多 ， 可 以 列举 下 述 诸 方式 : 不 执行 命令 、 干 扰 内 部 命令 的 执行 、 虚 假 
报警 、 使 文件 打 不 开 、 使 内 部 栈 溢出 、 占 用 特殊 数据 区 、 时 钟 倒 转 、 重 启动 、 死 机 、 强 制 
游戏 、 扰 乱 串 行 口 、 并 行 口 等 。 

(5) 速度 下 降 。 病 毒 激活 时 ， 其 内 部 的 时 间 延 迟 程序 启动 ， 在 时 钟 中 纳入 了 时 间 的 循 
环 计 数 ， 迫 使 计算 机 空转 ， 计 算 机 速度 明显 下 降 。 攻 击 磁盘 数据 、 不 写 盘 、 写 操作 变 读 操 


作 、 写 盘 时 丢 字 节 等 。 

(6) 扰乱 屏幕 显示 。 可 列举 如 下 : 字符 跌落 、 环 绕 、 倒 置 、 显 示 前 一 屏 、 光 标 下 跌 、 
滚屏 、 抖 动 、 乱 写 、 吃 字符 等 。 

(7) 键盘 病毒 。 干 扰 键盘 操作 ， 已 发 现 有 下 述 方式 : 响 铃 、 封 锁 键 盘 、 换 字 、 抹 掉 组 
存 区 字符 、 重 复 、 输 入 紊乱 等 。 

(8) 喇叭 病毒 。 许 多 病毒 运行 时 会 使 计算 机 的 喇叭 发 出 响声 。 有 的 病毒 作者 通过 喇叭 
发 出 种 种 声音 ， 有 的 病毒 作者 让 病毒 演奏 旋律 优美 的 世界 名 曲 ， 在 高 雅 的 曲调 中 去 杀 旗 人 
们 的 信息 财富 。 已 发 现 的 喇叭 发 声 有 以 下 方式 : 演奏 曲子 、 警 笛 声 、 炸 弹 噪声 、 鸣 叫 、 味 
味 声 、 咬 噶 声 等 。 

(9) 攻击 CMOS。 在 机 器 的 CMOS 区 中 保存 着 系统 的 重要 数据 ， 如 系统 时 钟 、 磁 盘 类 
型 、 内 存 容 量 等 。 有 的 病毒 激活 时 ， 能 够 对 CMOS 区 进行 写 入 动作 ， 破 坏 系统 CMOS 中 
的 数据 。 


S.1.6 计算 机 病毒 的 危害 性 


在 计算 机 病毒 出 现 的 初期 ， 说 到 计算 机 病毒 的 危害 ， 往 往 注重 于 病毒 对 信息 系统 的 直 
接 破坏 作用 ， 如 格式 化 硬盘 、 删 除 文件 数据 等 ， 并 以 此 来 区 分 恶性 病毒 和 良性 病毒 。 其 实 
这 些 只 是 病毒 劣迹 的 一 部 分 ， 随 着 计算 机 应 用 的 发 展 ， 人 们 深刻 地 认识 到 凡是 病毒 都 可 能 
对 计算 机 信息 系统 造成 严重 的 破坏 。 

计算 机 病毒 的 主要 危害 有 : 

1. 病毒 激发 对 计算 机 数据 信息 的 直接 破坏 作用 

大 部 分 病毒 在 激发 的 时 候 直 接 破坏 计算 机 的 重要 信息 数据 ， 所 利用 的 手段 有 格式 化 磁 
盘 、 改 写 文件 分 配 表 和 目录 区 、 删 除 重要 文件 ， 或 者 用 无 意义 的 “垃圾 ”数据 改写 文件 、 
破坏 CMOS 设置 等 。 例 如 ， 磁 盘 杀 手 病毒 (Disk Killer) 内 含 计数 器 ， 在 硬盘 染 毒 后 累计 
开机 时 间 48 小 时 内 激发 ， 激 发 的 时 候 屏 幕 上 显示 “Warming!! Don't tur off power or remove 
diskette while Disk Killer is Processing! (警告 !! Disk Killer 在 工作 ， 不 要 关闭 电源 或 取出 
做 盘 )”， 改 写 硬盘 数据 。 被 Disk Killer 破坏 的 硬盘 可 以 用 杀毒 软件 修复 ， 不 要 轻易 放弃 。 

2. 占用 磁盘 空间 和 对 信息 的 破坏 

寄生 在 磁盘 上 的 病毒 总 要 非法 占用 一 部 分 磁盘 空间 。 引 导 型 病毒 的 一 般 侵占 方式 是 由 
病毒 本 身 占据 磁盘 引导 扇 区 ， 而 把 原来 的 引导 区 转移 到 其 他 扇 区 ， 也 就 是 引导 型 病毒 要 加 
善 一 个 磁盘 扇 区 。 被 覆盖 的 扇 区 数据 永久 性 丢失 ， 无 法 恢复 。 文 件 型 病毒 利用 一 些 DOS 
功能 进行 传染 , 这 些 DOS 功能 能 够 检测 出 磁盘 的 未 用 空间 , 把 病毒 的 传染 部 分 写 到 磁盘 的 
未 用 部 位 去 。 所 以 在 传染 过 程 中 一 般 不 破坏 磁盘 上 的 原 有 数据 ， 但 非法 侵占 了 磁盘 空间 。 
一 些 文件 型 病毒 传染 速度 很 快 , 在 短 时 间 内 感染 大 量 文件 , 每 个 文件 都 不 同 程度 地 加 长 了 ， 
这 就 造成 磁盘 空间 的 严重 浪费 。 

3. 抢占 系统 资源 

除 少数 病毒 外 ， 其 他 大 多 数 病毒 在 动态 下 都 是 常 驻 内 存 的 ， 这 就 必然 抢占 一 部 分 系统 
资源 。 病 毒 所 占用 的 基本 内 存 长 度 大 致 与 病毒 本 身长 度 相 当 。 病 毒 抢占 内 存 ， 导 致 内 存 减 
少 ， 一 部 分 软件 不 能 运行 。 除 占用 内 存 外 ， 病 毒 还 抢占 中 断 ， 干 扰 系统 运行 。 计 算 机 操作 
系统 的 很 多 功能 是 通过 中 断 调 用 技术 来 实现 的 。 病 毒 为 了 传染 激发 ， 总 是 修改 一 些 有 关 的 
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中 断 地 址 ， 在 正常 中 断 过 程 中 加 入 病毒 的 “ 私 货 ”， 从 而 干扰 了 系统 的 正常 运行 。 

4. 影响 计算 机 运行 速度 

病毒 进驻 内 存 后 不 但 干扰 系统 运行 ， 还 影响 计算 机 速度 ， 主 要 表现 在 : 

(1) 病毒 为 了 判断 传染 激发 条 件 ， 总 要 对 计算 机 的 工作 状态 进行 监视 ， 这 相对 于 计算 
机 的 正常 运行 状态 既 多 余 又 有 害 。 

(2) 有 些 病毒 为 了 保护 自己 ， 不 但 对 磁盘 上 的 静态 病毒 加 密 ， 而 且 进 驻 内 存 后 的 动态 
病毒 也 处 在 加 密 状 态 ，CPU 每 次 寻 址 到 病毒 处 时 要 运行 一 段 解密 程序 把 加 密 的 病毒 解密 成 
合法 的 CPU 指令 再 执行 ， 而 病毒 运行 结束 时 再 用 一 段 程序 对 病毒 重新 加 密 。 这 样 ，CPU 
额外 执行 数 千 条 以 至 上 万 条 指令 。 

(3) 病毒 在 进行 传染 时 同样 要 插入 非法 的 额外 操作 ， 特 别 是 传染 软盘 时 不 但 计算 机 速 
度 明 显 变 慢 ， 而 且 软 盘 正 常 的 读 写 顺序 被 打 乱 ， 发 出 刺耳 的 噪声 。 

5. 计算 机 病毒 错误 与 不 可 预见 的 危害 

计算 机 病毒 与 其 他 计算 机 软件 的 最 大 差别 是 病毒 的 无 责任 性 。 编 制 一 个 完善 的 计算 机 
软件 需要 耗费 大 量 的 人 力 、 物 力 ， 经 过 长 时 间 调 试 完 善 ， 软 件 才能 推出 。 但 在 病毒 编制 者 
看 来 既 没 有 必要 这 样 做 ， 也 不 可 能 这 样 做 。 很 多 计算 机 病毒 都 是 个 别人 在 一 台 计 算 机 上 匆 
匆 编 制 调试 后 就 向 外 抛 出 ， 反 病毒 专家 在 分 析 大 量 病毒 后 发 现 绝 大 部 分 病毒 都 存在 不 同 程 
度 的 错误 。 错 误 病 毒 的 另 一 个 主要 来 源 是 变种 病毒 。 有 些 初 学 计算 机 者 尚 不 具备 独立 编制 
软件 的 能 力 ， 出 于 好 奇 或 其 他 原因 修改 别人 的 病毒 ， 造 成 错误 。 计 算 机 病毒 错误 所 产生 的 
后 果 往 往 是 不 可 预见 的 ， 反 病毒 工作 者 曾经 详细 指出 “黑色 星期 五 ”病毒 存在 9 处 错误 ， 
“乒乓 ”病毒 有 $ 处 错误 等 。 但 是 人 们 不 可 能 花费 大 量 时间 去 分 析 数 万 种 病毒 的 错误 所 在 。 
大 量 含有 未 知 错误 的 病毒 扩散 传播 ， 其 后 果 是 难以 预料 的 。 

6. 计算 机 病毒 的 兼容 性 对 系统 运行 的 影响 

兼容 性 是 计算 机 软件 的 一 项 重要 指标 ， 兼 容 性 好 的 软件 可 以 在 各 种 计算 机 环境 下 运 
行 ， 反 之 ， 兼 容 性 差 的 软件 则 对 运行 条 件 “ 挑 肥 拣 瘦 ”， 要 求 机 型 和 操作 系统 版 本 等 。 病 毒 
的 编制 者 一 般 不 会 在 各 种 计算 机 环境 下 对 病毒 进行 测试 ， 因 此 病毒 的 兼容 性 较 差 ， 常 常 导 
致死 机 。 

7. 计算 机 病毒 给 用 户 造成 严重 的 心理 压力 

据 有 关 计 算 机 销售 部 门 统计 ， 计 算 机 售后 用 户 怀疑 “计算 机 有 病毒 ”而 提出 咨询 约 占 
售后 服务 工作 量 的 60% 以 上 。 经 检测 确实 存在 病毒 的 约 占 70% ， 另 有 30% 的 情况 只 是 用 
户 怀疑 ， 而 实际 上 计算 机 并 没有 病毒 。 那 么 用 户 怀 疑 病毒 的 理由 是 什么 呢 ? 多 半 是 出 现 诸 
如 计算 机 死机 、 软 件 运行 异常 等 现象 。 这 些 现 象 确实 很 有 可 能 是 计算 机 病毒 造成 的 ， 但 又 
不 全 是 ， 实 际 上 在 计算 机 工作 “异常 ”的 时 候 很 难 要 求 一 位 普通 用 户 去 准确 判断 是 否 是 病 
毒 所 为 。 大 多 数 用 户 对 病毒 采取 宁可 信 其 有 的 态度 ， 这 对 于 保护 计算 机 安全 无 疑 是 十 分 必 
要 的 ， 然 而 往往 要 付出 时 间 、 金 钱 等 方面 的 代价 。 仅 仅 怀疑 病毒 而 贸然 格式 化 磁盘 所 带 来 
的 损失 更 是 难以 弥补 。 不 仅 是 个 人 单机 用 户 ， 在 一 些 大 型 网 络 系统 中 也 难免 为 甄别 病毒 而 
停机 。 总 之 ， 计 算 机 病毒 像 “ 幽 灵 ” 一 样 笼罩 在 广大 计算 机 用 户 心头 ， 给 人 们 造成 巨大 的 
心理 压力 ， 极 大 地 影响 了 现代 计算 机 的 使 用 效率 ， 由 此 带 来 的 无 形 损失 是 难以 估量 的 。 

病毒 对 计算 机 的 危害 是 众所周知 的 ， 轻 则 影响 机 器 速度 ， 重 则 破坏 文件 或 造成 死机 。 
计算 机 病毒 不 仅 对 计算 机 产生 影响 ， 而 且 对 人 也 会 产生 一 定 影响 。 当 然 ， 计 算 机 病毒 是 不 


会 与 人 交叉 感染 的 ， 那 么 它 是 怎样 对 人 产生 影响 的 呢 ? 其 实 很 简单 ， 它 是 通过 控制 屏幕 的 
输出 来 对 人 的 心理 进行 影响 。 有 些 按 破 坏 能 力 分 类 归 为 “无 害 ” 的 病毒 ， 虽 然 不 会 损坏 数 
据 ， 但 在 发 作 时 并 不 只 是 播放 一 段 音乐 这 样 简单 。 有 些 病 毒 会 进行 反动 宣传 ， 有 些 病毒 会 
显示 一 些 对 人 身心 健康 不 利 的 文字 或 图 像 。 在 2000 年 年 底 , 人 们 发 现 了 一 个 通过 电子 邮件 
传播 的 病毒 一 一 “ 女 鬼 ”病毒 。 当 打开 感染 了 “ 女 鬼 ”病毒 的 邮件 的 附件 时 ， 病 毒 发 作 ， 
在 屏幕 上 显示 一 个 美食 家 杀害 妻子 的 恐怖 故事 。 之 后 ， 一 切 恢复 正常 。 一 般 人 会 以 为 这 个 
病毒 的 发 作 只 是 这 样 而 已 。 但 是 ，5 分 钟 后 ， 屏 幕 突然 变 黑 ， 一 个 恐怖 的 女尸 的 图 像 就 会 
显示 出 来 ， 让 没有 丝毫 心理 准备 的 人 吓 一 跳 。 据 报道 ， 有 人 因此 突 发 心脏 病 身亡 。 所 以 ， 
计算 机 病毒 的 这 个 危害 也 是 不 可 小 视 的 。 


S.1.7 知名 计算 机 病毒 简介 


1. CIH 

CIH 病毒 是 一 位 名 叫 陈 春 豪 的 中 国 台 湾 大 学 生 编 写 的 ， 从 中 国 台湾 传 入 大 陆地 区 ， 是 
公认 的 有 史 以 来 危险 程度 最 高 、 破 坏 强度 最 大 的 病毒 。 损 失 估 计 : 全 球 约 5 亿美 元 。 

CIH 感染 Windows 95/98/ME 等 操作 系统 的 可 执行 文件 ， 能 够 驻 留 在 计算 机 内 存 中 ， 
并 据 此 继续 感染 其 他 可 执行 文件 。CIH 的 危险 之 处 在 于 ， 一 旦 被 激活 ， 它 可 以 覆盖 主机 硬 
盘 上 的 数据 并 导致 硬盘 失效 。 它 还 具备 覆盖 主板 BIOS 芯片 的 能 力 ， 从 而 使 计算 机 引导 失 
败 。CIH 的 一 些 变种 的 触发 日 期 恰好 是 切 尔 诺 贝 利 核电 站 事故 发 生 之 日 ， 因 此 它 也 被 称 为 
切 尔 诺 贝 利 病毒 。1999 年 4 月 26 日 ， 公 众 开 始 关注 CIH， 首 次 发 作 时 ， 全 球 不 计 其 数 的 
计算 机 硬盘 被 垃圾 数据 覆盖 ， 甚 至 破坏 BIOS 信息 ， 无 法 启动 。 其 发 作 特征 是 : 

(1) 以 2048 个 扇 区 为 单位 ， 从 硬盘 主 引导 区 开始 依次 往 硬 盘 中 写 入 垃圾 数据 ， 直 到 
硬盘 数据 被 全 部 破坏 为 止 。 最 坏 的 情况 下 硬盘 所 有 数据 〈 含 全 部 逻辑 盘 数 据 ) 均 被 破坏 ， 
如 果 重 要 信息 没有 备份 ， 那 损失 更 是 无 法 想象 。 

(2) 某 些 主板 上 的 Flash Rom 中 的 BIOS 信息 将 被 清除 。 
(3) v1.4 版 本 每 月 26 日 发 作 ，v1.3 版 本 每 年 6 月 26 日 发 作 ， 以 下 版 本 每 年 4 月 26 
日 发 作 。 

2. 梅 利 莎 

1999 年 3 月 26 日 , 星期 五 , 梅 利 莎 (Melissa) 登 上 了 全 球 各 地 报纸 的 头 版 。 这 个 Word 
宏 脚 本 病毒 感染 了 全 球 13% 一 20% 的 商用 PC。 病 毒 传播 速度 之 快 令 英特尔 公司 、 微 软 公司 ， 
以 及 其 他 许多 使 用 Outlook 的 公司 措手不及 , 为 了 防止 损害 , 被 迫 关闭 整个 电子 邮件 系统 。 
“ 梅 利 莎 ”病毒 的 编写 者 大 卫 ， 史 密斯 后 被 判处 在 联邦 监狱 服刑 20 个 月 ， 也 算得 到 一 点 惩 
戒 。 损 失 估 计 : 全 球 约 3 亿 ~6 亿美 元 。 

梅 利 莎 通过 微软 公司 的 Outlook 软件 向 用 户 通 讯 短 名 单 中 的 50 位 联系 人 发 送 邮件 来 传 
播 自身 。 该 邮件 包含 以 下 这 句 话 :“ 这 就 是 你 请 求 的 文档 ， 不 要 给 别人 看 ”此 外 还 夹带 一 
个 Word 文档 附件 。 而 单 击 这 个 文件 ， 就 会 使 病毒 感染 主机 并 日 重复 自我 复制 ， 一 旦 被 激 
活 ， 病 毒 就 用 动画 片 《 辛 普 森 一 家 》 的 台词 修改 用 户 的 Word 文档 。 

3. 我 爱 你 

又 称 为 情书 或 爱 虫 ， 是 一 个 VB 脚本 ，2000 年 5 月 3 日 ,“ 我 爱 你 ”蠕虫 病毒 首次 在 
中 国 香港 被 发 现 。“ 我 爱 你 ”蠕虫 病毒 通过 一 封 标题 为 “我 爱 你 (ILOVE YOU)”， 附 件 名 
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称 为 “Love-Letter-For-You.TXT.vbs” 的 邮件 进行 传输 。 和 梅 利 莎 类 似 , 该 病毒 也 向 Outlook 
通讯 德 中 的 联系 人 发 送 自身 。 它 还 大 肆 复 制 自身 覆盖 音乐 和 图 片 文件 。 它 还 会 在 受到 感染 
的 机 器 上 搜索 用 户 的 账号 和 密码 ， 并 发 送 给 病毒 作者 。 打 开 病 毒 邮件 附件 会 观察 到 计算 机 
的 硬盘 灯 狂 内， 系统 速度 显著 变 慢 ， 计 算 机 中 出 现 大 量 的 扩展 名 为 vbs 的 文件 。 所 有 快捷 
方式 被 改变 为 与 系统 目录 下 wscriptexe 建立 关联 ， 进 一 步 消 耗 系统 资源 ， 造 成 系统 月 溃 。 
由 于 当时 菲律宾 并 无 制裁 编写 病毒 程序 的 法 律 ,“ 我 爱 你 ”病毒 的 作者 因此 逃 过 一 劫 。 损 失 
估计 : 全 球 超过 100 亿美 元 。 
4. 红色 代码 
“红色 代码 (Code Red)” 是 一 种 蠕虫 病毒 ， 能 够 通过 网 络 进行 传播 。2001 年 7 月 13 
日 ， 红 色 代 码 从 网 络 服务 器 上 传播 开 来 。 它 是 专门 针对 运行 微软 公司 互联 网 信息 服务 软件 
的 网 络 服务 器 来 进行 攻击 。“ 红 色 代码 ”还 被 称 为 Bady， 设 计 者 蓄意 进行 最 大 程度 的 破坏 。 
被 它 感染 后 ， 遭 受 攻击 的 主机 所 控制 的 网 络 站 点 上 会 显示 这 样 的 信息 :“ 你 好 ! 欢迎 光临 
www.worm.com!”。 随后 ， 病 毒 便 会 主动 寻找 其 他 易 受 攻击 的 主机 进行 感染 。 这 个 行为 持 
续 大 约 20 天 , 之 后 它 便 对 某 些 特定 人 P 地 址 发 起 拒绝 服务 攻击 。 在 短 短 不 到 一 周 的 时 间 内 ， 
这 个 病毒 感染 了 近 40 万 台 服务 器 , 据 估计 多 达 100 万 台 计 算 机 受到 感染 。 损 失 估计 : 全 球 
约 26 亿美 元 。 
$5. SQL Slammer 
SQL Slammer 也 被 称 为 “蓝宝石 ” 2003 年 1 月 25 日 首次 出 现 。 它 是 一 个 非 同 寻常 的 
蠕虫 病毒 ， 给 互联 网 的 流量 造成 了 显而易见 的 负面 影响 。 它 的 目标 并 非 终端 计算 机 用 户 ， 
而 是 服务 器 。 它 是 一 个 单 包 的 、 长 度 为 376 字 节 的 蠕虫 病毒 ， 它 随机 产生 人 P 地 址 ， 并 向 这 
些 IP 地 址 发 送 自 身 。 如 果 某 个 了 P 地 址 恰好 是 一 台 运 行 着 未 打 补 丁 的 微软 公司 SQL 服务 器 
桌面 引擎 软件 的 计算 机 ， 它 会 迅速 开始 向 随机 IP 地 址 的 主机 发 射 病毒 。 正 是 运用 这 种 效果 
显著 的 传播 方式 ，SQL Slammer 在 10 分 钟 之 内 感染 了 7.5 万 台 计算 机 。 庞 大 的 数据 流量 令 
全 球 的 路 由 器 不 堪 重 负 ， 导 致 它们 一 个 个 被 关闭 。 损 失 估计 : 全 球 约 上 百 亿美 元 。 
6， 冲击 波 
对 于 依赖 计算 机 运行 的 商业 领域 而 言 ，2003 年 夏天 是 一 个 艰难 的 时 期 。 一 波 未 平 ， 一 
波 又 起 。IT 人 士 在 此 期 间 受 到 了 “冲击 波 (Blaster)” 和 “霸王 虫 ”蠕虫 的 双 面 夹击 。“ 冲 
击 波 ” 首 先 发 起 攻击 。 病 毒 最 早 于 当年 8 月 11 日 被 检测 出 来 并 迅速 传播 ， 两 天 之 内 就 达到 
了 攻击 顶峰 。 病 毒 通过 网 络 连 接 和 网 络 流量 传播 ， ad 
a ar | Windows 2000/XP 的 一 个 弱点 进行 攻击 ， 被 激活 以 后 ， 它 会 向 计 
0 算 机 用 户 展示 一 个 恶意 对 话 框 , 提示 系统 将 关闭 ， 加 国 5 所 未 、 
we mmm | 在 病毒 的 可 执行 文件 中 隐藏 着 这 些 信息 :“ 桑 ， 我 只 想 说 爱 你 !” 
| 以 及 “比尔 。 盖 茨 ， 你 为 什么 让 这 种 事情 发 生 ? 别 再 敛财 了 ， 修 
1 | 补 你 的 软件 吧 !”。 
病毒 还 包含 了 可 于 4 月 15 日 向 Windows 升级 网 站 发 起 分 布 
图 着 于 该 中 王 症 大 武 Dog 攻击 的 代码 。 但 那 时 ，“ 神 击 波 ” 造成 的 损害 已 经 过 了 高 
峰 期 ， 基 本 上 得 到 了 控制 。 损 失 估计 : 数 百 亿 美元 。 
7. 霸王 虫 
“冲击 波 ” 一 走 ,“ 霸 王 虫 (SobigF)” 蠕 虫 便 接 中 而 至 ， 对 企业 和 家 庭 计算 机 用 户 而 
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言 ，2003 年 8 月 可 谓 悲 惨 的 一 个 月 。 最 具 破 坏 力 的 变种 是 SobigF， 它 于 8 月 19 日 开始 迅 
速 传播 ， 在 最 初 的 24 小 时 之 内 ， 自 身 复 制 了 100 万 次 , 创下 了 历史 纪录 (后 来 被 Mydoom 
病毒 打破 )。 病 毒 伪装 在 文件 名 看 似 无 害 的 邮件 附件 之 中 , 被 激活 之 后 ,这 个 蠕虫 便 向 用 户 
的 本 地 文件 类 型 中 发 现 的 电子 邮件 地 址 传播 自身 ， 最 终结 果 是 造成 互联 网 流量 激增 。 损 失 
估计 : 50 亿 一 100 亿美 元 。 

2003 年 9 月 10 日 ， 病 毒 禁用 了 自身 ， 从 此 不 再 成 为 威胁 。 为 得 到 线索 ， 找 出 Sobig.F 
病毒 的 始作俑者 ， 微 软 公 司 宣布 悬赏 25 万 美元 ， 但 至 今 为 止 ， 这 个 作恶 者 也 没有 被 抓 到 。 

8. Bagle 

Bagle 是 一 个 经 典 而 复杂 的 蠕虫 病毒 ， 2004 年 1 月 18 日 首次 露面 。 这 个 恶意 代码 采取 
传统 的 机 制 ， 电 子 邮件 附件 感染 用 户 系统 ， 然 后 彻 查 视窗 文件 ， 寻 找到 电子 邮件 地 址 发 送 
以 复制 自身 。 

Bagle 及 其 60 一 100 个 变种 的 真正 危险 在 于 , 蠕虫 感染 了 一 台 计 算 机 之 后 , 便 在 其 TCP 
端口 开启 一 个 后 门 ， 远 程 用 户 和 应 用 程序 利用 这 个 后 门 得 到 受 感染 系统 上 的 数据 (包括 金 
融和 个 人 信息 在 内 的 任何 数据 ) 访问 权限 。 Bagle.B 变种 被 设计 成 在 2004 年 1 月 28 日 之 后 
停止 传播 ， 但 是 到 目前 为 止 还 有 大 量 的 其 他 变种 继续 困扰 用 户 。 损 失 估计 : 100 亿 一 200 
亿美 元 。 

9. MyDoom 

2004 年 1 月 26 日 几 个 小 时 之 间 ，MyDoom 通过 电子 邮件 在 互联 网 上 以 史无前例 的 速 
度 迅 速 传播 ， 需 刻 之 间 全 球 都 能 感受 到 它 所 带 来 的 冲击 波 。 它 还 有 一 个 名 称 叫 做 Norvarg， 
它 传 播 自身 的 方式 极为 迁 回 曲折 : 它 把 自己 伪装 成 一 封包 含 错误 信息 “邮件 处 理 失 败 ”， 看 
似 电子 邮件 错误 信息 邮件 的 附件 ， 单 击 这 个 附件 ， 它 就 被 传播 到 了 地 址 短 中 的 其 他 地 址 。 
MyDoom 还 试图 通过 P2P 软件 Kazaa 用 户 账 户 的 共享 文件 夹 来 进行 传播 。 

这 个 复制 进程 相当 成 功 ， 计 算 机 安全 专家 估计 ， 在 受到 感染 的 最 初 一 个 小 时 ， 每 10 
封 电 子 邮件 中 就 有 一 封 携 带 病 毒 。MyDoom 病毒 程序 自身 设计 成 2004 年 2 月 12 日 以 后 停 
止 传播 。 损 失 估 计 : 385 亿美 元 以 上 。 

10. 震荡 波 

“震荡 波 〈Sasser)” 自 2004 年 8 月 30 日 起 开始 传播 ， 其 破坏 能 力 之 大 令 法 国 一 些 新 
闻 机 构 不 得 不 关闭 了 卫星 通信 。 它 还 导致 德尔 塔 航空 公司 (Delta) 取消 了 数 个 航班 ， 全 球 
范围 内 的 许多 公司 不 得 不 关闭 了 系统 。“ 震 荡 波 ”的 传播 并 非 通过 电子 邮件 ， 也 不 需要 用 户 
的 交互 动作 。“ 震 荡 波 ”病毒 是 利用 了 未 升级 的 Windows 2000/XP 系统 的 一 个 安全 漏洞 。 
一 旦 成 功 复制 ， 蠕 虫 便 主动 扫描 其 他 未 受 保护 的 系统 并 将 自身 传播 到 那里 。 受 感染 的 系统 
会 不 断 发 生 崩 溃 和 不 稳定 的 情况 。 

“震荡 波 ” 是 德国 一 名 高 中 生 编 写 的 ， 他 在 18 岁 生日 那天 释放 了 这 个 病毒 。 由 于 编写 
这 些 代码 的 时 候 他 还 是 一 个 未 成 年 人 ， 德 国 一 家 法 庭 认 定 他 从 事 计 算 机 破坏 活动 ， 因 此 仅 
被 判处 21 个 月 监禁 〈 缓 期 执行 ) 及 社区 服务 。 损 失 估计 : 5 亿 一 10 亿美 元 。 

11. 网 游 大 盗 

网 游 大 资 出 现 于 2007 年 ， 是 一 例 专门 盗 取 网 络 游戏 账号 和 密码 的 病毒 ， 其 变种 wm 
是 典型 品种 。 英 文 名 为 Trojan/PSW.GamePassjws 的 “网 游 大 盗 ” 变 种 中 ，jws 是 “网 游 大 
盗 ” 木 马 家 族 最 新 变种 ， 采 用 Visual C++ 编 写 ， 并 经 过 加 这 处 理 。“ 网游 大 盗 ” 变 种 jws 运 
行 后 会 将 自我 复制 到 Windows 目录 下 ， 自 我 注册 为 Windows_Down 系统 服务 ， 实 现 开机 
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自 启 。 该 病毒 会 盗 取 包括 “魔兽 世界 `“ 完 美 世界 ~“ 征途 ”等 多 款 网 游玩 家 的 账户 和 密 
码 ， 并 且 会 下 载 其 他 病毒 到 本 地 运行 。 玩 家 计算 机 一 旦 中 毒 ， 就 可 能 导致 游戏 账号 、 装 备 
等 丢失 。 网 游 大 盗 在 2007 年 艇 动 一 时 ， 网 游玩 家 提心吊胆 。 损 失 估 计 : 数 千 万 美元 。 


5.2 网 络 病 毒 


网 络 病毒 通过 计算 机 网 络 传播 感染 网 络 中 的 可 执行 文件 (如 COM、EXE、DOC 等 )， 
主要 进行 游戏 等 账号 的 盗 取 工作 ， 远 程 操控 ， 或 把 受 控 者 的 计算 机 当 作 “肉鸡 ”使 用 。 

共有 开放 性 的 互联 网 成 为 计算 机 病毒 广泛 传播 的 有 利 环 境 ， 而 互联 网 本 身 的 安全 漏洞 
为 培育 新 一 代 病 毒 提供 了 绝 佳 的 条 件 。 人 们 为 了 让 网 页 更 加 精彩 漂亮 、 功 能 更 加 强大 而 开 
发 出 Active X 技术 和 Java 技术 , 然而 病毒 程序 的 制造 者 也 利用 同样 的 渠道 把 病毒 程序 由 网 
络 渗透 到 个 人 计算 机 中 。 这 就 是 近 几 年 崛起 的 第 二 代 病 毒 ， 即 所 谓 的 “网 络 病毒 ” 可 以 说 : 
“网 络 是 病毒 的 天 党 ”。 

2000 年 出 现 的 “罗密欧 与 朱丽叶 ”病毒 是 一 个 典型 的 网 络 病毒 , 它 改写 了 病毒 的 历史 。 
在 当时 ， 人 们 还 以 为 病毒 技术 的 发 展 速度 不 会 太 快 ， 然 而 “罗密欧 与 朱丽叶 ”病毒 彻底 击 
碎 了 人 们 的 侥幸 心理 “罗密欧 与 朱丽叶 ”病毒 具有 邮件 病毒 的 所 有 特性 ， 但 它 不 再 藏身 于 
电子 邮件 的 附件 中 ， 而 是 直接 存在 于 邮件 正文 中 ， 一 旦 计算 机 用 户 用 Outlook 打开 邮件 进 
行 阅读 ， 病 毒 就 会 立即 发 作 ， 并 将 复制 出 的 新 病毒 通过 邮件 发 送 给 其 他 人 ， 计 算 机 用 户 几 
乎 无 法 躲避 。 

网 络 病毒 的 出 现 似乎 拓展 了 病毒 制造 者 们 的 思路 ， 在 随后 的 时 间 里 ， 千 奇 百 怪 的 网 络 
病毒 孕育 而 生 。 这 些 病毒 具有 更 强 的 繁殖 能 力 和 破坏 能 力 , 它们 不 再 局 限于 电子 邮件 之 中 ， 
而 是 直接 植 入 Web 服务 器 的 网 页 代码 中 ， 当 计算 机 用 户 浏览 了 带 有 病毒 的 网 页 之 后 ， 系 统 
就 会 被 感染 ， 随 即 朋 溃 。 当 然 ， 这 些 病毒 也 不 会 放 过 自己 寄生 的 服务 器 ， 在 适当 的 时 候 病 
毒 会 与 服务 器 系统 同归于尽 。 

公安 部 国家 计算 机 病毒 应 急 处 理 中 心 、 计 算 机 病毒 防治 产品 检验 中 心 联合 发 布 了 
“2008 年 我 国信 息 网 络 安全 状况 必 计 算 机 病毒 疫情 调查 报告 "调查 结果 显示 , 我 国信 息 网 
络 安全 事件 发 生 比 例 继 前 三 年 连续 增长 后 ， 今 年 略 有 下 降 ， 信 息 网 络 安 全 事件 发 生 比 例 为 
62.7%， 比 去 年 下 降 了 3%; 计算 机 病毒 感染 率 也 出 现下 降 , 为 85.5%， 比 去 年 减少 了 6%。 
奥运 期 间 ， 全 国 互 联网 安全 状况 基本 平稳 ， 未 出 现 重大 网 络 安全 事件 。 

近年 来 病毒 功能 越 来 越 强 大 ， 不 仅 拥有 蠕虫 病 毒 传播 速度 和 破坏 能 力 ， 还 具有 木马 的 
控制 计算 机 和 盗窃 重要 信息 的 功能 。2000 年 以 来 ， 病 毒 制 造 者 为 了 获得 经 济 利益 ， 纷 纷 开 
始 制 作 各 类 木马 ， 一 时 间 网 上 木马 横行 。 

2006 年 “熊猫 烧香 ”这 一 复合 型 病毒 的 出 现 改变 了 病毒 制造 者 的 想法 。 利 用 蠕虫 的 传 
播 能 力 和 多 种 传播 渠道 ， 可 以 更 快 更 多 地 帮助 木马 传播 ， 从 而 抽取 更 大 的 非法 经 济 效益 。 
因此 , “熊猫 烧香 ”病毒 在 儿 个 月 的 时 间 里 感染 了 大 量 机 器 , 给 被 感染 的 用 户 带 来 重大 损失 。 

据悉 ， 通 过 对 2007 年 十 大 病毒 的 统计 ， 结 果 显 示 2006 年 十 大 病毒 的 一 半 还 在 2007 
年 十 大 病毒 的 列表 中 ， 并且“ 木马 代理 ” 继 2006 年 之 后 ， 再 度 成 为 2007 年 的 最 流行 病毒 。 
2007 年 十 大 病毒 排行 榜 分 别 为 木马 代理 、 网 游 大 盗 、 艾 妮 、 熊 猫 烧 香 、 梅 勒 斯 、Delf〈 德 
芙 )、 灰 位 子 、Small 及 其 变种 、QQ 木马 、 传 奇 木马 。2008 年 十 大 病毒 排行 榜 分 别 为 网 游 


大 盗 、AutoRun、JS.Agent、 Delf、 AV 终结 者 、 灰 饮 子 、Small 及 其 变种 、JS.RealPlr、 JS.Psyme、 
HTML .Iframe。 

自 2001 年 开始 病毒 疫情 调查 工作 以 来 ， 没 有 出 现 过 同一 种 病毒 连续 两 年 成 为 十 大 病 
毒 榜首 的 情况 ， 而 2006 年 到 2008 年 的 数据 中 木马 代理 、 网 游 大 盗 连 续 出 现 ， 这 也 表明 木 
马 具有 强大 的 生存 能 力 。 十 大 病毒 与 盗 取 密 码 有 关 的 病毒 还 有 网 游 大 盗 、 艾 妮 、 熊 猫 烧 香 、 
梅 勒 斯 、QQ 森马、 传奇 木马 和 灰 钥 子 ， 它 们 都 具有 窃取 用 户 的 游戏 账号 和 密码 的 功能 。 


S.2.1 ”木马 病毒 的 概念 


特洛伊 木马 (Trojan Horse， 简 称 木 马 )， 其 名 称 取 自 希腊 神话 的 特洛伊 木马 记 。 故 事 
说 的 是 希腊 人 围攻 特洛伊 城 10 年 后 仍 不 能 得 手 , 于 是 阿 迎 门 农 受 雅 典 娜 的 启发 : 把 士兵 藏 
匿 于 巨大 无 比 的 木马 中 ， 然 后 伴 作 退兵 。 当 特洛伊 人 将 木马 作为 战利品 拖 入 城内 时 ， 高 大 
的 木马 正好 卡 在 城 门 间 ， 进 退 两 难 。 夜 晚 木 马 内 的 士兵 候 出 来 ， 与 城 外 的 部 队 里 应 外 合 
攻 下 了 特洛伊 城 。 计 算 机 世界 的 特洛伊 木马 是 指 隐 藏 在 正常 程序 中 的 一 段 具有 特殊 功能 的 
恶意 代码 ， 是 具备 破坏 和 删除 文件 、 发 送 密 码 、 记 录 键 盘 和 DoS 攻击 等 特殊 功能 的 后 门 程 
序 。 它 是 一 种 基于 远程 控制 的 黑客 工具 ， 具 有 隐蔽 性 和 非 授权 性 的 特点 。 木 马 病毒 的 产生 
严重 危害 着 现代 网 络 的 安全 运行 。 

所 谓 隐蔽 性 是 指 木马 的 设计 者 为 了 防止 木马 被 发 现 ， 会 采用 多 种 手段 隐藏 木马 ， 这 样 
服务 端 即 使 发 现 感染 了 木马 ， 由 于 不 能 确定 其 具体 位 置 ， 往 往 只 能 望 “ 马 ”兴叹 。 

所 谓 非 授权 性 是 指 一 旦 控制 端 与 服务 端 连 接 后 ， 控 制 端 将 享有 服务 端的 大 部 分 操作 权 
限 ， 包 括 修改 文件 ， 修 改 注册 表 ， 控 制 鼠 标 、 键 盘 等 ， 这 些 权力 并 不 是 服务 端 赋予 的 ， 而 
是 通过 木马 程序 窃取 的 。 

木马 和 病毒 都 是 一 种 人 为 的 程序 ， 都 属于 计算 机 病毒 ， 为 什么 木马 要 单独 提出 来 说 ? 
大 家 都 知道 ， 以 前 的 计算 机 病毒 其 实 完 全 就 是 为 了 搞 破坏 ， 破 坏 计算 机 里 的 资料 数据 。 除 
了 破坏 之 外 ， 有 些 病 毒 制造 者 为 了 达到 某 些 目 的 而 进行 的 威慑 和 敲诈 勒索 的 行为 ， 就 是 为 
了 炫 灿 自己 的 技术 。 木 马 不 一 样 ， 木 马 的 作用 是 赤裸 裸 地 偷偷 监视 别人 和 盗窃 别人 密码 、 
数据 等 。 例 如 ， 盗 窃 管 理 员 密码 、 子 网 密码 搞 破 坏 ， 或 者 好 玩 ， 偷 窃 上 网 密码 用 于 它 用 ， 
游戏 账号 、 股 票 账号 、 网 上 银行 账户 等 ， 达 到 偷 宕 别人 隐私 和 得 到 经 济 利益 的 目的 。 所 以 
木马 比 早期 的 计算 机 病毒 更 加 有 害 ， 更 能 够 直接 达到 使 用 者 的 目的 ， 导 致 许多 别有用心 的 
程序 开发 者 大 量 编写 这 类 带 有 偷窃 和 监视 别人 计算 机 的 侵入 性 程序 ， 这 就 是 目前 网 上 大 
量 木马 泛滥 成 灾 的 原因 。 鉴 于 木马 的 这 些 巨 大 危害 性 和 它 与 早期 病毒 的 作用 性 质 不 一 样 ， 
因此 木马 虽然 属于 病毒 中 的 一 类 ， 但 是 要 单独 地 从 病毒 类 型 中 间 剥 离 出 来 ， 称 为 “木马 ” 
程序 。 

“木马 ”程序 是 指 通过 一 段 特 定 的 程序 来 控制 另 一 台 计 算 机 。 木 马 通常 有 两 个 可 执行 
程序 ， 一 个 是 客户 端 ， 即 控制 端 ， 另 一 个 是 服务 端 ， 即 被 控制 端 。 植 入 被 控制 计算 机 的 是 
“服务 器 ”部 分 ， 而 所 谓 的 “黑客 ” 正 是 利用 “控制 器 ”进入 运行 了 “服务 器 ”的 计算 机 。 
运行 了 木马 程序 的 “服务 器 ”以 后 ， 被 植 入 的 计算 机 就 会 有 一 个 或 几 个 端口 被 打开 ， 使 黑 
客 可 以 利用 这 些 打开 的 端口 进入 计算 机 系统 ， 安 全 和 个 人 隐私 也 就 全 无 保障 了 。 木 马 的 设 
计 者 为 了 防止 木马 被 发 现 而 采用 多 种 手段 隐藏 木马 ,木马 的 服务 一 旦 运行 并 被 控制 端 连接 ， 
其 控制 端 将 享有 服务 端的 大 部 分 操作 权限 ， 例 如 给 计算 机 增加 口令 ,浏览 、 移 动 、 复 制 、 
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删除 文件 ， 修 改 注册 表 ， 更 改 计算 机 配置 等 。 随 着 病毒 编写 技术 的 发 展 ， 木 马 程 序 对 用 户 
的 威胁 越 来 越 大 ， 尤 其 是 一 些 木马 程序 采用 了 极其 猜 猎 的 手段 来 隐蔽 自己 ， 使 普通 用 户 很 
难 在 中 毒 后 发 觉 。 

木马 的 发 展 可 以 分 为 以 下 几 个 阶段 : 

1. 第 一 代 木 马 : 伪装 型 病毒 

这 种 病毒 通过 伪装 成 一 个 合法 性 程序 诱骗 用 户 上 当 。 世 界 上 第 一 个 计算 机 木马 是 出 现 
在 1986 年 的 PC-Write 木马 。 它 伪装 成 共享 软件 PC-Write 的 2.72 版 本 (事实 上 , 编写 PC-Write 
的 Quicksoft 公司 从 未 发 行 过 2.72 版 本 )， 一 旦 用 户 信以为真 ， 运 行 该 木马 程序 ， 那 么 他 的 
下 场 就 是 硬盘 被 格式 化 。 有 人 用 BASIC 作 了 一 个 登录 界面 木马 程序 ， 当 用 户 把 他 的 用 户 
ID、 密 码 输入 一 个 和 正常 的 登录 界面 一 模 一 样 的 伪 登 录 界 面 后 ， 木 马 程序 一 面 保存 用 户 的 
ID 和 密码 ， 一 面 提示 用 户 密码 错误 让 用 户 重新 输入 ， 当 用 户 第 二 次 登录 时 ， 就 已 成 了 木马 
的 牺牲 品 。 此 时 的 第 一 代 木 马 还 不 具备 传染 特征 。 

2. 第 二 代 木 马 : AIDS 型 木马 

继 PC-Write 之 后 ，1989 年 出 现 了 AIDS 木马 。 由 于 当时 很 少 有 人 使 用 电子 邮件 ， 因 此 
AIDS 的 作者 就 利用 现实 生活 中 的 邮件 进行 散播 : 给 其 他 人 寄 去 一 封 封 含有 木马 程序 软盘 
的 邮件 。 之 所 以 叫 这 个 名 称 是 因为 软盘 中 包含 有 AIDS 和 HIV 疾病 的 药品 、 价 格 、 预 防 措 
施 等 相关 信息 。 软 盘 中 的 木马 程序 在 运行 后 ， 虽 然 不 会 破坏 数据 , 但 是 它 将 硬盘 加 密 锁 死 ， 
然后 提示 受 感染 用 户 花 钱 消 灾 。 可 以 说 第 二 代 木 马 已 具备 了 传播 特征 (尽管 通过 传统 的 邮 
递 方式 )。 

3. 第 三 代 木 马 : 网 络 传播 性 木马 

随 着 Intemet 的 普及 ， 这 一 代 木 马 兼备 伪装 和 传播 两 种 特征 并 结合 TCP/IP 网 络 技术 四 
处 泛滥 。 同 时 它 还 添加 了 新 的 特征 一 一 “后 门 ”功能 。 所 谓 后 门 就 是 一 种 可 以 为 计算 机 系 
统 秘密 开启 访问 入 口 的 程序 。 一 旦 被 安装 ， 这 些 程序 就 能 够 使 攻击 者 绕 过 安全 程序 进入 系 
统 。 该 功能 的 目的 就 是 收集 系统 中 的 重要 信息 ， 例 如 财务 报告 、 口 令 及 信用 卡号 。 此 外 ， 
攻击 者 还 可 以 利用 后 门 控制 系统 ， 使 之 成 为 攻击 其 他 计算 机 的 帮凶 。 由 于 后 门 是 隐藏 在 系 
统 背后 运行 的 ， 因 此 很 难 被 检测 到 。 它 们 不 像 病毒 和 蠕虫 那样 通过 消耗 内 存 而 引起 注意 。 
图 5.2 为 QQ 软件 中 木马 病毒 时 的 现象 。 


添加 了 击 键 记录 功能 。 从 名 称 上 就 可 以 

知道 ， 该 功能 主要 是 记录 用 户 所 有 的 击 键 内 
容 ， 然 后 形成 击 键 记录 的 日 志文 件 发 送 给 恶 
和 9， ii 打字， 月 四 加 意 用 户 。 恶 意 用 户 可 以 从 中 找到 用 户 名 、 口 
i， SA。 | 令 及 信用 卡号 等 用 户 信息 。 这 一 代 木 马 比较 


看 到 我 给 你 的 留言 了 ， 快 快 品尝 英 味 的 电子 月 谨 吧 


TT _ 4 天 有 名 的 有 国外 的 BO2000 和 国内 的 冰河 木马 。 
它们 有 如 下 共同 特点 : 基于 网 络 的 客户 端 / 服 
， 务 器 应 用 程序 ， 具 有 搜集 信息 、 执 行 系统 命 
令 、 重 新 设置 机 器 、 重 新 定向 等 功能 。 当 木 
马 程序 攻击 得 手 后 ， 计 算 机 就 完全 成 为 黑客 
控制 的 便 偶 主机 ， 黑 客 成 了 超级 用 户 ， 用 户 
的 所 有 计算 机 操作 不 但 没有 任何 秘密 而 言 ， 
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图 5.2 QQ 软件 中 木马 病毒 时 的 现象 


而 且 黑 客 可 以 远程 控制 侈 偏 主 机 对 别 的 主机 发 动 攻击 ， 这 时 候 被 俘获 的 俐 偏 主机 成 了 黑客 
进行 进一步 攻击 的 挡 箭牌 和 跳板 。 

4. 网 页 挂 马 

网 页 挂 马 指 的 是 把 一 个 木马 程序 上 传 到 一 个 网 站 上 ， 然 后 用 木马 生成 器 生成 一 个 木 
马 ， 再 上传 到 网 站 空间 里 面 ， 再 添加 代码 使 得 木马 在 打开 网 页 时 运行 。 

网 页 挂 马 常见 方式 主要 有 以 下 几 种 : 

(1) 将 木马 伪装 为 页 面 元 素 。 木 马 则 会 被 浏览 器 自动 下 载 到 本 地 。 

(2) 利用 脚本 运行 的 漏洞 下 载 木马 。 

(3) 利用 脚本 运行 的 漏洞 释放 隐 含 在 网 页 脚本 中 的 木马 。 

(4) 将 木马 伪装 为 缺失 的 组 件 ， 或 和 缺失 的 组 件 捆绑 在 一 起 如 flash 播放 插件 )。 这 
样 既 达 到 了 下 载 的 目的 ， 下 载 的 组 件 又 会 被 浏览 器 自动 执行 。 

(5) 通过 脚本 运行 调用 某 些 com 组 件 ， 利 用 其 漏洞 下 载 木马 。 

(6) 在 演 染 页 面 内 容 的 过 程 中 利用 格式 溢出 释放 木马 (如 ani 格式 溢出 漏洞 )。 

(7) 在 泻 染 页 面 内 容 的 过 程 中 利用 格式 溢出 下 载 木马 (如 flash9.0.115 的 播放 漏洞 )。 

虽然 木马 程序 手段 越 来 越 隐蔽 ， 只 要 加 强 个 人 安全 防范 意识 ， 还 是 可 以 大 大 降低 “中 
招 ” 的 几率 。 对 此 有 如 下 建议 : 安装 个 人 防 病毒 软件 、 个 人 防火 墙 软件 ， 及 时 安装 系统 补 
丁 ; 对 不 明 来 历 的 电子 邮件 和 插件 不 予 理 皮 ， 经 常 去 安全 网 站 转 一 转 ， 以 便 及 时 了 解 一 些 
新 木马 的 底细 ， 做 到 知已 知 彼 ， 百 战 不 殉 。 
S.2.2 ”木马 的 种 类 


1， 网 游 木 马 

随 着 网 络 在 线 游戏 的 普及 和 升温 ,中国 拥有 规模 庞大 的 网 游玩 家 。 网络 游戏 中 的 金钱 、 
装备 等 虚拟 财富 与 现实 财富 之 问 的 界限 越 来 越 模 糊 。 与 此 同时 ， 以 盗 取 网 游 账 号 密码 为 目 
的 的 木马 病毒 也 随 之 发 展 泛滥 起 来 。 网络 游 戏 木马 通常 采用 记录 用 户 键盘 输入 、Hook 游戏 
进程 API 函数 等 方法 获取 用 户 的 密码 和 账号 。 窃 取 到 的 信息 一 般 通 过 发 送 电子 邮件 或 向 远 
程 脚本 程序 提交 的 方式 发 送 给 木马 作者 。 
网 络 游戏 木马 的 种 类 和 数量 在 国产 木马 病毒 中 都 首屈一指。 流行 的 网 络 游戏 无 一 不 受 
网 游 木 马 的 威胁 。 一 款 新 游戏 正式 发 布 后 ， 往 往 在 一 到 两 个 星期 内 就 会 有 相应 的 木马 程序 
被 制作 出 来 。 大 量 的 木马 生成 器 和 黑客 网 站 的 公开 销售 也 是 网 游 木马 泛滥 的 原因 之 一 。 

2. 网 银 木马 

网 银 木 马 是 针对 网 上 交易 系统 编写 的 木马 病毒 ， 其 目的 是 盗 取 用 户 的 卡号 、 密 码 ， 甚 
至 安全 证 书 。 此 类 木马 种 类 数量 虽然 比 不 上 网 游 木 马 ， 但 它 的 危害 更 加 直接 ， 受 害 用 户 的 
损失 更 加 惨重 。 

网 银 木 马 通常 针对 性 较 强 ， 木 马 作者 可 能 首先 对 某 银 行 的 网 上 交易 系统 进行 仔细 分 
析 ， 然后 针对 安全 薄弱 环节 编写 病毒 程序 。2013 年 ， 安 全 软件 计算 机 管家 截获 网 银 木 马 最 
新 变种 “ 弹 马 温 ”， 弹 马 温 病毒 能 够 毫 无 痕迹 的 修改 支付 界面 ， 使 用 户 根本 无 法 察觉 。 通 过 
不 良 网 站 提供 假 QVOD 下 载 地 址 进行 广泛 传播 , 当 用 户 下 载 这 一 挂 马 播放 器 文件 安装 后 就 
会 中 森马， 该 病毒 运行 后 即 开 始 监视 用 户 网 络 交易 ， 屏 蔽 余额 支付 和 快捷 支付 ， 强 制 用 户 
使 用 网 银 ， 并 借 机 篡改 订单 ， 盗 取 财产 。 随 着 中 国 网 上 交易 的 普及 ， 受 到 外 来 网 银 木马 威 
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胁 的 用 户 也 在 不 断 增加 。 

3. 下 载 器 木马 

这 种 木马 程序 的 体积 一 般 很 小 ， 其 功能 是 从 网 络 上 下 载 其 他 病毒 程序 或 安装 广告 软 
件 。 由 于 体积 很 小 ， 下 载 器 木马 更 容易 传播 ， 传 播 速度 也 更 快 。 通 常 功能 强大 、 体 积 也 很 
大 的 后 门类 病毒 ， 如 “ 灰 铝 子 ^“ 黑 洞 ” 等 传播 时 都 单独 编写 一 个 小 巧 的 下 载 型 木马 ， 用 
户 中 毒 后 会 把 后 门 主 程序 下 载 到 本 机 运行 。 

4. 代理 类 木马 

用 户 感染 此 类 木马 程序 后 ， 会 在 本 机 开启 HTTP、SOCKS 等 代理 服务 功能 。 黑 客 把 受 
感染 计算 机 作为 跳板 ， 以 被 感染 用 户 的 身份 进行 黑客 活动 ， 达 到 隐藏 自己 的 目的 。 

5S. FTP 木马 

FTP 型 木马 打开 被 控制 计算 机 的 21 号 端口 (FTP 所 使 用 的 默认 端口 )， 使 每 一 个 人 都 
可 以 用 一 个 FTP 客户 端 程序 来 不 用 密码 连接 到 受 控制 端 计算 机 , 并且 可 以 进行 最 高 权限 的 
上 传 和 下 载 ， 窃 取 受 害 者 的 机 密 文件 。 新 FTP 木马 还 加 上 了 密码 功能 ， 这 样 ， 只 有 攻击 者 
本 人 才 知 道 正 确 的 密码 ， 从 而 进入 对 方 计算 机 。 

6. 通信 软件 类 木马 

此 类 木马 可 以 感染 即时 通信 软件 ， 而 国内 即时 通信 软件 百花 齐 放 。QQ、 新 浪 UC、 网 
易 泡 泡 、 盛 大 圈 圈 …… 网 上 聊天 的 用 户 群 十 分 庞大 。 和 常见 的 此 类 木马 一 般 有 三 种 ; 

(1) 发 送 消息 型 。 

通过 即时 通信 软件 自动 发 送 含有 恶意 网 址 的 消息 ， 目 的 在 于 让 收 到 消息 的 用 户 点 击 网 
址 中 毒 ， 用 户 中 毒 后 又 会 向 更 多 好 友 发 送 病毒 消息 。 此 类 病毒 常用 技术 是 搜索 聊天 窗口 ， 
进而 控制 该 窗口 自动 发 送 文本 内 容 。 发 送 消 息 型 木马 常常 充当 网 游 木马 的 广告 ， 如 “武汉 
男生 2005” 木 马 ， 可 以 通过 MSN、QQ、UC 等 多 种 聊天 软件 发 送 带 毒 网 址 ， 其 主要 功能 
是 盗 取 传 奇 游戏 的 账号 和 密码 。 

(2) 盗号 型 。 

主要 目标 在 于 即时 通信 软件 的 登录 账号 和 密码 。 工 作 原 理 和 网 游 木 马 类 似 。 病 毒 作 者 
盗 得 他 人 账号 后 , 可 能 偷 宕 聊天 记录 等 隐私 内 容 , 在 各 种 通信 软件 内 向 好 友 发 送 不 良 信息 、 
广告 推销 等 语句 ， 或 将 账号 卖 掉 赚 取 利润 。 

(3) 传播 自身 型 。 

2005 年 年 初 ,“MSN 性 感 鸡 ”等 通过 MSN 传播 的 蠕虫 泛滥 了 一 阵 之 后 ，MSN 推出 新 
版 本 ， 禁 止 用 户 传送 可 执行 文件 。2005 年 上 半年 , “QQ 龟 ” 和 “QQ 爱 虫 ”这 两 个 国产 病 
毒 通过 QQ 聊天 软件 发 送 自身 进行 传播 , 感染 用 户 数量 极 大 , 在 江 民 公司 统计 的 2005 年 上 
半年 十 大 病毒 排行 榜 上 分 列 第 一 名 和 第 四 名 。 从 技术 角度 分 析 ， 发 送 文件 类 的 QQ 蠕虫 是 
以 前 发 送 消息 类 QQ 木马 的 进化 ， 采 用 的 基本 技术 都 是 搜寻 到 聊天 窗口 后 ， 对 聊天 窗口 进 
行 控制 来 达到 发 送 文件 或 消息 的 目的 ， 只 不 过 发 送 文件 的 操作 比 发 送 消息 复 杂 很 多 。 

7. 网 页 点 击 类 木马 

此 类 木马 会 恶意 模拟 用 户 点 击 广告 等 动作 ， 在 短 时 间 内 可 以 产生 数 以 万 计 的 点 击 量 。 
病毒 作者 的 编写 目的 一 般 是 为 了 赚 取 高 额 的 广告 推广 费用 。 此 类 病毒 的 技术 简单 ， 一 般 只 
是 向 服务 器 发 送 HITP GET 请 求 。 


5.2.3 ”木马 病毒 案例 


木马 病毒 在 互联 网 时 代 让 无 数 网 民 深 受 其 害 。 无 论 是 “网 购 和 “网 银 ” 还 是 “网 游 ” 
的 账户 密码 ， 只 要 与 钱 有 关 的 网 络 交易 都 是 当下 木马 攻击 的 重 灾区 ， 用 户 稍 有 不 慎 极 有 可 
遭受 重大 钱财 损失 甚至 隐私 被 窃 。 下 面 列举 一 些 比较 典型 的 案例 。 

1.“ 支 付 大 盗 ” 花 钱 上 百度 首页 

2012 年 12 月 6 日 ， 一 款 名 为 “支付 大 盗 ” 的 新 型 网 购 木 马 被 发 现 。 木 马 网 站 利用 百 
度 排 名 机 制 伪装 为 “阿里 旺旺 官网 ”诱骗 网 友 下 载运 行 木 马 ， 再 暗中 劫持 受害 者 网 上 支付 
资金 ， 把 付款 对 象 自 改 为 黑客 账户 。 

2.“ 新 鬼 影 ” 借 《江南 Style》 疯 传 

火 遍 全 球 的 《江南 Style》 很 不 幸 被 一 种 名 为 “新 鬼 影 ”的 木马 上 村 上 了 。 只 要 下 载 打开 
《江南 Style》 相 关 视 频 文 件 ， 浏 览 器 主页 就 被 自 改 为 陌生 网 址 导航 。 此 木马 主要 寄生 在 硬 
盘 MBR( 主 引导 扇 区 ) 中 ， 如 果 用 户 计算 机 没有 开局 安全 软件 防护 ,中 招 后 无 论 重 装 系统 
还 是 格式 化 硬盘 ， 都 无 法 将 其 彻底 清除 干净 。 

3.“ 图 片 大 盗 ” 最 爱 私 密 照 

绝 大 多 数 网 民 都 有 一 个 困惑 ， 为 什么 自己 计算 机 中 的 私密 照会 莫名 其 妙 的 出 现在 网 
上 。“ 图 片 大 盗 ” 木马 运行 后 会 全 盘 扫 描 搜集 JPG、PNG 格式 图 片 , 并 筛选 大 小 在 100KB 一 
2MB 之 间 的 文件 ， 暗 中 将 其 发 送 到 黑客 服务 器 上 ， 对 受害 者 隐私 造成 严重 危害 。 

4.“ 浮 云 ”木马 震惊 全 国 

盗 取 网 民 钱 财 高 达 千 万 元 的 “浮云 ”成 为 了 2012 年 度 震惊 全 国 的 木马 。 首 先 诱骗 网 
民 支 付 一 笔 小 额 假 订单 ， 却 在 后 台 执行 另外 一 个 高 额 订 单 ， 用 户 确认 后 ， 高 额 转账 资金 就 
会 进入 黑客 的 账户 。 该 木马 可 以 对 20 多 家 银行 的 网 上 交易 系统 实施 盗窃。 

S.“ 黏 虫 ” 木 马 专 盗 QQ 

“QQ 黏 虫 ”在 2011 年 度 就 被 业界 评 为 十 大 高 危 木马 之 一 ，2012 年 该 木马 变种 卷 土 重 
来 ， 伪 装 成 QQ 登录 框 窃取 用 户 QQ 账号 及 密码 。 值 得 警惕 的 是 ， 不 法 分 子 和 盗窃 QQ 后， 
除了 窃取 账号 关联 的 虚拟 财产 外 ， 还 有 可 能 假冒 身份 向 被 害 者 的 亲友 借 钱 。 

6.“ 怪 鱼 ” 木 马 效 击 微 博 

2012 年 “十 一 ”长 假 刚刚 结束 ， 一 种 名 为 “ 怪 鱼 ” 的 新 型 木马 开始 肆虐 网 络 。 该 木马 
充分 利用 了 新 兴 的 社交 网 络 ， 在 中 招 计算 机 上 自动 登录 受害 者 微 博 账 号 ， 发 布 虚假 中 奖 等 
钓鱼 网 站 链接 ， 绝 对 是 2012 年 最 具 欺 骗 性 的 钓鱼 攻击 方式 。 

7.“ 打 印 机 木马 ”疯狂 消耗 纸张 

2012 年 6 月 ， 号 称 史 上 最 不 环保 的 “打印 机 木马 〈Trojan.Milicenso)” 现 身 ， 美 国 、 
印度 、 北 欧 等 地 区 大 批 企业 计算 机 中 招 ， 导 臻 数 千 台 打印 机 疯狂 打印 毫 无 意义 的 内 容 ， 直 
到 耗 完 纸张 或 强行 关闭 打印 机 才 会 停止 。 

8.“ 网 银 刺 客 ”木马 暗算 多 家 网 银 

2012 年 ,“3。15” 期 间 大 名 里 易 的 “网 银 刺 客 ”木马 开始 大 规模 爆发 ， 该 木马 恶意 利 
用 某 截 图 软件 ， 把 正当 合法 软件 作为 自身 保护 伞 ， 从 而 避 开 了 不 少 杀 毒 软件 的 监控 。 运 行 
后 会 暗中 劫持 网 银 支付 资金 ， 影 响 十 余 家 主流 网 上 银行 。 
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9.“ 遥 控 弹 窗 机 ”木马 爱 上 偷 菜 

“遥控 弹 窗 机 ”是 一 款 伪装 成 “QQ 农 牧 餐 大 师 ” 等 游戏 外 挂 的 恶意 木马 ， 运 行 后 会 动 
持 正 常 的 QQ 弹 窗 ， 不 断 弹 出 大 量 低俗 页 面 及 网 购 钓鱼 弹 窗 ， 并 上 暗中 与 黑客 服务 器 连接 ， 
随时 获取 更 新 指令 ， 使 受害 者 面临 网 络 账号 被 盗 、 个 人 隐私 泄露 的 危险 。 

10.“Q 币 木 马 ” 元 旦 来 效 

新 年 历来 是 木马 病毒 活跃 的 高 峰 期 ，2012 年 元 旦 爆发 的 “Q 币 木马 ” 令 不 少 网 民 深 受 
其 害 。 该 木马 伪造 “元 旦 五 折 充 值 Q 币 ” 的 虚假 QQ 弹 窗 ,诱骗 中 招 用 户 在 Q 币 充值 页 面 
上 进行 支付 ， 充 值 对 象 则 被 木马 算 改 为 黑客 的 QQ 号 码 ， 相 当 于 掏 钱 奉 黑客 买 Q 币 。 

11.“ 修 改 中 奖 号 码 ” 

2009 年 6 月 ， 深 圳 一 起 涉及 3305 万 元 的 福利 彩票 诈骗 案 成 了 社会 关注 的 焦点 。 深 圳 
市 某 技术 公司 软件 开发 工程 师 程 某 ， 利 用 在 深圳 福彩 中 心 实 施 技术 合作 项 目的 机 会 ， 通 过 
木马 程序 攻击 了 存储 福彩 信息 的 数据 库 ， 并 进一步 进行 了 算 改 彩票 中 奖 数据 的 恶意 行为 ， 
以 期 达到 其 牟取 非法 利益 的 目的 。 


5.2.4 ”木马 病毒 的 防治 


1. 防范 木马 攻击 的 主要 措施 

(1) 运行 反 木 马 实时 监控 程序 。 

我 们 在 上 网 时 必须 运行 反 木 马 实时 监控 程序 ， 实 时 监控 程序 可 即时 显示 当前 所 有 运行 
程序 并 配 有 相关 的 详细 描述 信息 。 另 外 ， 也 可 以 采用 一 些 专业 的 最 新 杀毒 软件 、 个 人 防火 
墙 进行 监控 。 

(2) 不 要 执行 任何 来 历 不 明 的 软件 。 

对 于 网 上 下 载 的 软件 在 安装 、 使 用 前 一 定 要 用 反 病 毒 软件 进行 检查 ， 最 好 是 专门 查 杀 
木马 程序 的 软件 ， 确 定 没 有 木马 程序 后 再 执行 、 使 用 。 

(3) 不 要 轻易 打开 不 熟悉 的 邮件 。 

现在 ， 很 多 木马 程序 附加 在 邮件 的 附件 之 中 ， 收 邮件 者 一 旦 点 击 附件 ， 它 就 会 立即 运 
行 。 所 以 千 万 不 要 打开 那些 不 熟悉 的 邮件 ， 特 别 是 标题 有 点 乱 的 邮件 ， 这 些 邮件 往往 就 是 
木马 的 携带 者 。 

(4) 不 要 轻信 他 人 。 

不 要 因为 是 我 们 的 好 朋友 发 来 的 软件 就 运行 ， 因 为 不 能 确保 他 的 计算 机 上 就 不 会 有 木 
马 程序 。 当 然 , 好 朋友 故意 欺骗 你 的 可 能 性 不 大 , 但 也 许 他 中 了 木马 程序 自己 还 不 知道 呢 。 
况且 今天 的 互联 网 到 处 充满 了 和 危机， 也 不 能 保证 这 一 定 是 好 朋友 发 给 我 们 的 ， 也 许 是 别人 
冒名 给 我 们 发 的 文件 ， 或 者 就 是 木马 程序 本 身 发 来 的 。 例 如 ， 最 常见 的 QQ 尾巴 病毒 ， 经 
常会 冒充 主人 给 好 友 发 来 附件 。 

(5) 不 要 随意 下 载 软件 。 

不 要 随便 在 网 上 下 载 一 些 盗 版 软件 ， 特 别 是 一 些 不 可 靠 的 FTP 站 点 、 公 众 新 闻 组 、 论 
坛 或 BBS， 因 为 这 些 地 方正 是 新 木马 发 布 的 首选 之 地 。 

(6) 将 Windows 资源 管理 器 配置 成 始终 显示 扩展 名 。 
因为 一 些 扩展 名 为 VBS、SHS、PIF 的 文件 多 为 木马 程序 的 特征 文件 ， 一 经 发 现 要 立 
即 删除 ， 千 万 不 要 打开 。 


(7) 尽量 少 用 共享 文件 夹 。 

如 果 计 算 机 连接 在 互联 网 或 局 域 网 上 ， 要 少 用 、 尽 量 不 用 共享 文件 夹 。 如 果 因 工作 等 
其 他 原因 必须 设置 成 共享 ， 则 最 好 单独 开 一 个 共享 文件 夹 ， 把 所 有 和 需 共享 的 文件 都 放 在 这 
个 共享 文件 夹 中 。 注 意 ， 千 万 不 能 把 系统 目录 设置 成 共享 。 

(8) 隐藏 卫 地 址 。 

这 一 点 非常 重要 。 在 上 网 时 ， 最 好 用 一 些 工 具 软 件 隐藏 自己 计算 机 的 他 地 址 。 

前 面 讲 了 防范 木马 程序 攻击 的 8 个 方法 , 似乎 已 经 很 安全 了 。 但 是 , 我 们 知道 的 方法 ， 
木马 程序 设计 者 自然 也 会 知道 ， 他 们 会 想 尽 一 切 办 法 ， 尽 量 避 免 被 我 们 预防 到 。 

2. 木马 病毒 的 检测 

如 果 怀 疑 自 己 的 计算 机 上 被 别人 安装 了 木马 ， 或 者 是 中 了 病毒 ， 就 要 进行 相应 的 检测 
与 查 杀 了 ， 可 以 按照 以 下 步骤 来 进行 。 

(1) 检测 网 络 连接 。 

可 以 使 用 Windows 自 带 的 网 络 命令 来 看 看 谁 在 连接 你 的 计算 机 。 

具体 的 命令 格式 是 netstat -an， 这 个 命令 能 看 到 所 有 和 本 地 计算 机 建立 连接 的 全 ， 它 
包含 4 个 部 分 一 Proto (连接 方式 )、Local Address (本 地 连接 地 址 )、Foreign Address (和 
本 地 建立 连接 的 地 址 ) 和 State (当前 端口 状态 )。 通 过 这 个 命令 的 详细 信息 ， 就 可 以 完全 
监控 计算 机 上 的 连接 ， 从 而 达到 控制 计算 机 的 目的 。 

(2) 禁用 不 明 服务 。 

如 果 在 某 天 系统 重新 启动 后 发 现 计算 机 速度 变 慢 了 ， 不 管 怎么 优化 都 慢 ， 用 杀毒 软件 
也 查 不 出 问题 ， 这 个 时 候 很 可 能 是 别人 通过 入 侵 你 的 计算 机 后 开放 了 某 种 特别 的 服务 ， 如 
IIS 信息 服务 等 ， 这 样 杀 毒 软件 是 查 不 出 来 的 。 但 是 可 以 通过 net start 来 查看 系统 中 究竟 有 
什么 服务 在 开启 ， 如 果 发 现 了 不 是 自己 开放 的 服务 ， 就 可 以 有 针对 性 地 禁用 这 个 服务 。 方 
法 就 是 在 命令 窗口 中 直接 输入 net start 来 查看 服务 ， 再 用 net stop server 来 禁止 服务 。 

(3) 轻松 检查 账户 。 

很 长 一 段 时 间 ， 恶 意 的 攻击 者 非常 喜欢 使 用 克隆 账号 的 方法 来 控制 计算 机 。 采 用 的 方 
法 就 是 激活 一 个 系统 中 的 默认 账户 ， 但 这 个 账户 是 不 经 常用 的 ， 然 后 使 用 工具 把 这 个 账户 
提升 到 管理 员 权限 ， 从 表面 上 看 来 这 个 账户 还 是 和 原来 一 样 ， 但 是 这 个 克隆 的 账户 却 是 系 
统 中 最 大 的 安全 隐患 。 恶 意 的 攻击 者 可 以 通过 这 个 账户 任意 地 控制 计算 机 。 

为 了 避免 这 种 情况 ， 可 以 对 账户 进行 检测 。 首 先 在 命令 行 下 输入 net user， 查 看 计算 机 
上 有 些 什 么 用 户 ， 然 后 再 使 用 “net user 用 户 名 ”查看 这 个 用 户 是 属于 什么 权限 的 ， 一 般 
除了 Administrator 是 administrators 组 的 外 ， 其 他 都 不 是 ， 如 果 发 现 一 个 系统 内 置 的 用 户 是 
属于 administrators 组 的 ， 奢 几乎 肯定 被 入 侵 了 ， 而 且 别 人 在 计算 机 上 克隆 了 账户 。 可 以 使 
用 “net user 用 户 名 /del” 来 删 掉 这 个 用 户 。 

对 于 没有 联网 的 客户 端 ， 当 其 联网 之 后 也 会 在 第 一 时 间 内 收 到 更 新 信息 将 病毒 特征 库 
更 新 到 最 新 版 本 。 不 仅 省 去 了 用 户 手动 更 新 的 烦琐 过 程 ， 也 使 用 户 的 计算 机 时 刻 处 于 最 佳 
的 保护 环境 之 下 。 

(4) 对 比 系统 服务 项 。 

首先 选择 “开始 ”一 “运行 ”命令 ， 在 打开 的 对 话 框 中 输入 msconfig.exe 后 按 Enter 
键 ， 打 开 系 统 配置 实用 程序 ， 然 后 在 “服务 ”选项 卡 中 勾 选 “隐藏 所 有 Microsoft 服务 ” 复 
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选 框 ， 这 时 列表 中 显示 的 服务 项 都 是 非 系统 程 序 。 

再 选择 “开始 ”一 “运行 ”命令 ， 在 打开 的 对 话 框 中 输入 Services.msc 后 按 Enter 键 ， 
打开 系统 服务 管理 ， 对 比 两 张 表 ， 在 该 “服务 列表 ”中 可 以 逐一 找 出 刚才 显示 的 非 系统 服 
务 项 。 

然后 在 “系统 服务 ”管理 界面 中 找到 那些 服务 后 双击 打开 ， 在 “常规 ”选项 卡 中 的 可 
执行 文件 路 径 中 可 以 看 到 服务 的 可 执行 文件 位 置 ， 一 般 正常 安装 的 程序 ， 如 杀毒 、MSN、 
防火 墙 等 都 会 建立 自己 的 系统 服务 ， 不 在 系统 目录 下 ， 如 果 有 第 三 方 服务 指向 的 路 径 是 在 
系统 目录 下 ， 那 么 它 就 是 “木马 ”。 选 中 它 ， 选 择 表 中 的 “禁止 "”， 重 新 启动 计算 机 即 可 。 

3. 木马 病毒 的 查 杀 

木马 的 查 杀 可 以 采用 手动 和 自动 两 种 方式 。 最 简单 的 方式 是 安装 杀毒 软件 ， 当 今 国 内 
很 多 杀毒 软件 像 360、 瑞 星 、 金 山 毒 霸 等 都 能 删除 网 络 中 最 独 狐 的 木马 。 用 杀毒 软件 时 的 
步骤 如 下 : 

(1) 升级 杀毒 软件 到 最 新 版 本 ， 保 证 病毒 库 是 最 新 的 。 

(2) 对 于 局 域 网 内 部 用 户 ， 在 杀毒 之 前 请 断 掉 网 络 。 

(3) 重启 计算 机 ， 开 机 后 按 F8 键 ， 再 按 Enter 键 ， 进 到 “安全 模式 ”里 进行 杀毒 。 在 
Windows 下 杀毒 会 有 些 不 放心 ， 因 为 它们 极 有 可 能 会 交叉 感染 。 而 一 些 杀毒 程序 又 无 法 在 
DOS 下 运行 ， 这 时 可 以 把 系统 启动 至 安全 模式 ， 使 Windows 只 加 载 最 基本 的 驱动 程序 ， 
这 样 杀 起 病毒 来 就 更 彻底 、 更 干净 了 。 

(4) 杀毒 之 前 确认 扫描 选项 中 的 “杀毒 前 备份 染 毒 文件 “在 杀毒 前 先 扫 描 内 存 中 的 
病毒 ”被 选中 ， 不 要 选中 “ 染 毒 文件 清除 失败 后 删除 此 文件 ”选项 。 因 为 经 验证 明 ， 很 多 
病毒 都 是 内 存 驻 留 型 ， 备 份 染 毒 文 件 是 因为 没有 哪个 杀毒 软件 能 保证 杀 过 毒 之 后 的 文件 
100% 能 够 正常 使 用 。 

(5) 碰 到 病毒 已 经 清除 ， 但 系统 重新 启动 又 出 现 中 毒 情 况 的 ， 请 确认 所 在 网 络 无 毒 ， 
然后 制作 USB 启动 盘 在 Windows PE 环境 下 查 杀 。 如 果 网 络 中 毒 ， 请 联系 网 络 管理 员 ， 断 
网 杀毒 (Windows PE 是 在 Windows 内 核 上 构建 的 具有 有 限 服务 的 最 小 Win32 子 系统 ， 可 
以 方便 地 从 网 络 文件 服务 器 上 复制 磁盘 映像 并 启动 Windows 安装 程序 )。 

(6) 如 果 经 过 以 上 步骤 后 还 能 发 现 木马 病毒 ， 就 需要 到 网 上 查找 是 否 有 相关 病毒 的 专 
用 杀毒 工具 了 。 专 用 杀毒 工具 杀毒 精确 性 相对 较 高 ， 因 此 推荐 在 条 件 许 可 的 情况 下 使 用 专 
用 杀毒 工具 。 

4. 木马 病毒 的 手工 查 杀 

用 杀毒 软件 相对 简单 方便 ， 但 杀毒 软件 的 升级 通常 慢 于 新 木马 的 出 现 ， 因 此 学 会 手 了 
查 杀 很 有 必要 。 常 用 方法 有 : 

(1) 检查 注册 表 。 从 “开始 ”菜单 运行 regedit， 打 开 注册 表 编辑 器 ， 注 意 在 检查 注册 
表 之 前 要 先 给 注册 表 备份 - HKEY_LOCAL MACHINE\Software\Microsoft\Windows\Current 
Version\Run 和 HKEY LOCAL MACHINE\Software\Microsoft\Windows\CurrentVersion\ 
Runserveice， 查 看 键 值 中 有 没有 自己 不 熟悉 的 自 启动 文件 ， 它 的 扩展 名 一 般 为 EXE， 然 后 
记 住 木马 程序 的 文件 名 ,再 在 整个 注册 表 中 搜索 ， 凡 是 看 到 一 样 的 文件 名 的 键 值 就 删除 ， 
接着 到 计算 机 中 找到 木马 文件 的 藏身 地 将 其 彻底 删除 。 

(2) 检查 HKEY LOCAL MACHINE 和 HKEY _ CURRENT USER\SOFTWARE\Microsot\ 


Internet Explorer\Main 中 的 几 项 (如 Local Page)， 如 果 发 现 键 值 被 修改 了 ， 只 要 根据 判断 
改 回去 即 可 。 恶 意 代码 (如 “万 花 谷 ”) 就 经 常 修改 这 几 项 。 

(3) 检查 HKEY_CLASSES _ROOT\inifile\shell\open\command 和 HKEY CLASSES 
ROOT\txtfile\shelN\open\command 等 几 个 常用 文件 类 型 的 默认 打开 程序 是 否 被 更 改 , 若 有 更 
改 一 定 要 改 回来 ， 很 多 病毒 就 是 通过 修改 txt 和 ini 等 的 默认 打开 程序 而 清除 不 了 。 

(4) 检查 系统 配置 文件 。 从 “开始 ”菜单 运行 msconfig， 打 开 系统 配置 实用 程序 。 检 
查 win.ini 文 件 (在 C:vwindows 下 ), 在 WINDOWS 下 面 run= 和 load= 是 加 载 木 马 程序 的 一 
种 途径 。 一 般 情况 下 ， 在 它们 的 等 号 后 面 什么 都 没有 ， 如 果 发 现 后 面 跟 着 不 熟悉 的 启动 程 
序 ， 那 个 程序 就 是 木马 程序 。 

(5) 检查 system.ini 文件 〈 在 C:vwindows 下 )， 在 BOOT 下 面 有 一 个 “shell= 文 件 名 ”。 
正确 的 文件 名 应 该 是 explorer.exe， 如 果 是 “shell=explorer.exe 程序 名 ” 那么 后 面 跟着 的 那 
个 程序 也 是 木马 程序 。 不 管 出 现 以 上 哪 种 情况 ， 先 将 程序 名 删除 ， 然 后 再 在 硬盘 上 找到 这 
个 程序 进行 删除 。 


5.2.5 蠕虫 病毒 的 概念 


“蠕虫 ”这 个 生物 学 名 词 于 1982 年 由 Xerox PARC 的 John FShoeh 等 人 最 早 引入 计算 
机 领域 , 并 给 出 了 计算 机 蠕虫 的 两 个 最 基本 的 特征 :“ 可 以 从 一 台 计 算 机 移动 到 另 一 台 计 算 
机 ”和 “可 以 自我 复制 ” 最 初 ， 他 们 编写 蠕虫 的 目的 是 做 分 布 式 计 算 的 模型 试验 。1988 
年 Morris 蠕虫 爆发 后 ，Eugene H.Spafford 为 了 区 分 蜂 虫 和 病毒 ， 给 出 了 蠕虫 的 技术 角度 的 
定义 :“ 计 算 机 蠕虫 可 以 独立 运行 , 并 能 把 自身 的 一 个 包含 所 有 功能 的 版 本 传播 到 另外 的 计 
算 机 上 ”。 计算 机 蠕虫 和 计算 机 病毒 都 具有 传染 性 和 复制 功能 ,这 两 个 主要 特性 上 的 一 致 导 
致 二 者 之 间 是 非常 难 区 分 的 。 近 年 来 ， 越 来 越 多 的 病毒 采取 了 蠕虫 技术 来 达到 其 在 网 络 上 
迅速 感染 的 目的 。 因 而 ,“ 蠕 虫 ” 本 身 只 是 “计算 机 病毒 ”利用 的 一 种 技术 手段 。 

蠕虫 病毒 的 传染 机 理 是 利用 网 络 进行 复制 和 传播 ， 传 染 途径 是 通过 网 络 、 电 子 邮 件 及 
U 盘 、 移 动 硬盘 等 移动 存储 设备 。 例 如 ，2006 年 年 底 的 “熊猫 烧香 ”病毒 就 是 蠕虫 病毒 的 
一 种 。 蠕 虫 程序 主 要 利用 系统 漏洞 进行 传播 。 它 通过 网 络 、 电 子 邮 件 和 其 他 的 传播 方式 ， 
像 生物 蠕虫 一 样 从 一 台 计 算 机 传染 到 另 一 台 计 算 机 。 因 为 蠕虫 使 用 多 种 方式 进行 传播 ， 所 
以 蠕虫 程序 的 传播 速度 是 非常 快 的 。 

蠕虫 病毒 侵入 一 台 计 算 机 后 ,首先 获取 其 他 计算 机 的 下 地 址 , 然后 将 自身 副本 发 送 给 
这 些 计算 机 。 蠕 虫 病毒 也 使 用 存储 在 染 毒 计算 机 上 的 邮件 客户 端 地 址 德里 的 地 址 来 传播 程 
序 。 虽 然 有 的 蠕虫 程序 也 在 被 感染 的 计算 机 中 生成 文件 ， 但 一 般 情 况 下 ， 蠕 虫 程序 只 占 用 
内 存 资 源 而 不 占用 其 他 资源 。 

蠕虫 病毒 也 是 一 种 病毒 ， 因 此 具有 病毒 的 共同 特征 。 一 般 的 病毒 是 需要 寄生 的 ， 它 可 
以 通过 自己 指令 的 执行 ， 将 自己 的 指令 代码 写 到 其 他 程序 的 体内 ， 而 被 感染 的 文件 被 称 为 
“宿主 ” 例如 ，Windows 下 可 执行 文件 的 格式 为 PE 格式 ， 需 要 感染 PE 文件 时 ， 首 先 在 宿 
主 程序 中 建立 一 个 新 段 ， 将 病毒 代码 写 到 新 段 中 ， 修 改 程序 入 口 点 等 ， 这 样 ， 宿 主 程序 执 
行 的 时 候 就 可 以 先 执行 病毒 程序 ， 病 毒 程序 运行 完 之 后 ， 再 把 控制 权 交 给 宿主 原来 的 程序 
指令 。 可 见 ， 病 毒 主要 是 感染 文件 ， 当 然 也 有 像 DIRI 这 种 链接 型 病毒 ， 还 有 引导 区 病毒 。 
引导 区 病毒 是 感染 磁盘 的 引导 区 ， 如 果 是 软盘 、U 盘 、 移 动 硬盘 等 被 感染 ， 其 受 感染 的 盘 
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在 其 他 机 器 上 使 用 后 ， 同 样 也 会 感染 其 他 机 器 ， 所 以 传播 方式 也 可 以 是 移动 存储 设备 。 

蠕虫 一 般 不 采取 利用 PE 格式 插入 文件 的 方法 ， 而 是 复制 自身 在 互联 网 环境 下 进行 传 
播 ， 病 毒 的 传染 能 力主 要 是 针对 计算 机 内 的 文件 系统 而 言 ， 而 蠕虫 病毒 的 传染 目标 是 互联 
网 内 的 所 有 计算 机 。 局 域 网 条 件 下 的 共享 文件 夹 、 电 子 邮 件 、 网 络 中 的 恶意 网 页 、 大 量 存 
在 着 漏洞 的 服务 器 等 都 成 为 蠕虫 传播 的 良好 途径 。 网 络 的 发 展 也 使 得 蠕虫 病毒 可 以 在 几 个 
小 时 内 莹 延 全 球 ， 而 且 蠕 虫 的 主动 攻击 性 和 突然 爆发 性 将 使 得 人 们 手足 无 措 。 

1. 蠕虫 病毒 的 组 成 

蠕虫 病毒 由 两 部 分 组 成 :一 个 主 程序 和 一 个 引导 程序 。 主 程序 一 旦 在 计算 机 上 建立 就 
会 去 收集 与 当前 计算 机 联网 的 其 他 计算 机 的 信息 。 它 能 通过 读 取 公共 配置 文件 并 运行 显示 
当前 网 上 联机 状态 信息 的 系统 实用 程序 而 做 到 这 一 点 。 随 后 ， 它 尝试 利用 前 面 所 描述 的 那 
些 缺陷 在 这 些 远程 计算 机 上 建立 其 引导 程序 。 

蠕虫 病毒 程序 常 驻 于 一 台 或 多 台 计 算 机 中 ， 并 有 自动 重新 定位 的 能 力 。 如 果 它 检测 到 
网 络 中 的 某 台 计算 机 未 被 占用 ， 它 就 把 自身 的 一 个 备份 一 个 程序 段 ) 发 送 给 那 台 计算 机 。 
每 个 程序 段 都 能 把 自身 的 备份 重新 定位 于 另 一 台 计 算 机 中 ， 并 且 能 识别 它 占 用 的 那 台 计 算 机 。 

2. 蠕虫 病毒 的 特征 

蠕虫 病毒 的 一 般 特征 如 下 : 

(1) 独立 个 体 ， 单 独 运行 。 

(2) 大 部 分 利用 操作 系统 和 应 用 程序 的 漏洞 主动 进行 攻击 。 

(3) 传播 方式 多 样 。 

(4) 造成 网 络 拥塞 ， 消 耗 系统 资源 。 

(5) 制作 技术 与 传统 的 病毒 不 同 ， 与 黑客 技术 相 结合 。 

里 虫 病毒 的 行为 特征 主要 包括 主动 攻击 、 行 踪 隐 蔽 、 利 用 系统 和 网 络 应 用 服务 漏洞 、 
造成 网 络 拥塞 、 降 低 系统 性 能 、 产 生 安全 隐患 、 反 复 性 、 破 坏 性 等 。 

3. 蠕虫 病毒 的 分 类 

根据 攻击 对 象 不 同 可 分 为 两 类 : 一 类 是 面向 企业 用 户 和 局 域 网 的 ， 这 类 利用 系统 漏洞 
主动 进行 攻击 ， 可 以 使 得 整个 因特网 瘫痪 ， 主 要 以 “红色 代码 ”和 “SQL 蠕虫 王 ” 为 代表 ; 
另 一 类 是 针对 个 人 用 户 的 ， 通 过 网 络 迅速 传播 的 蠕虫 病毒 ， 以 “ 爱 虫 ”病毒 和 “求职 信 ” 
病毒 为 代表 。 

4. 传播 过 程 

(1) 扫描 。 由 蠕虫 的 扫描 功能 模块 负责 探测 存在 漏洞 的 主机 。 

(2) 攻击 。 攻 击 模块 按 漏洞 攻击 步骤 自动 攻击 找到 的 对 象 ， 取 得 该 主机 的 权限 一般 
为 管理 员 权限 )， 获 得 一 个 shell。 

(3) 现场 处 理 。 进 入 被 感染 的 系统 后 ， 要 做 现场 处 理工 作 ， 现 场 处 理 部 分 工作 主要 包 
括 隐藏 、 信 息 搜集 等 。 

(4) 复制 。 复 制 模块 通过 原 主机 和 新 主机 的 交互 将 蠕虫 程序 复制 到 新 主机 并 启动 。 


5.2.6 蠕虫 病毒 案例 


1.“ 能 猫 烧香 ”病毒 
“能 猫 嵌 香 ”是 一 个 由 Delphi 工具 编写 的 蠕虫 ,终止 大 量 的 反 病毒 软件 和 防火 墙 软件 


进程 。 病 毒 会 删除 扩展 名 为 GHO 的 文件 ， 使 用 户 无 法 使 用 ghost 软件 恢复 操作 系统 “能 
猫 烧香 ”感染 系统 的 EXE、COM、PIF、SRC、HTML、ASP 文件 ， 添 加 病毒 网 址 ， 导 致 
用 户 一 打开 这 些 网 页 文件 ，IE 就 会 自动 连接 到 指定 的 病毒 网 址 中 下 载 病毒 。 在 硬盘 各 个 分 
区 下 生成 文件 autorun.inf 和 setup.exe， 可 以 通过 U 盘 和 移动 硬盘 等 方式 进行 传播 ， 并 且 利 
用 Windows 系统 的 自动 播放 功能 来 运行 ， 搜 索 硬 盘 中 的 EXE 可 执行 文件 并 感染 ， 感 染 后 
的 文件 图 标 变 成 “熊猫 烧香 ”图 案 ， 如 图 5.3 所 示 。“ 熊 猫 烧 香 ” 还 可 以 通过 共享 文件 夹 、 
系统 弱 口 令 等 多 种 方式 进行 传播 。 


;ED 4 


I 
上 fog {op |** 


og fo og 
wi lo op | 


加 


和 
1 


[本 和 和 和 和 和 和 


图 5.3 感染 “熊猫 烧香 ”病毒 现象 


据 瑞星 反 病毒 专家 介绍 ,“ 能 猫 烧 香 ” 其 实 是 “ 尼 姆 亚 ” 病 毒 的 新 变种 ， 最 早出 现在 
2006 年 的 11 月 ， 由 于 它 一 直 在 不 停 地 进行 变种 ， 而 且 该 病毒 会 将 中 毒 计算 机 中 所 有 的 网 
页 文件 尾部 添加 病毒 代码 ， 因 此 一 旦 一 些 网 站 编辑 人 员 的 计算 机 被 该 病毒 感染 ， 网 站 编辑 
在 上 传 网 页 到 网 站 后 ， 就 会 导致 所 有 浏览 该 网 页 的 计算 机 用 户 也 被 感染 上 该 病毒 。 

同时 ， 金 山 毒 霸 反 病毒 中 心 表示 ,“ 熊 猫 烧香 ”除了 通过 网 站 带 毒 感染 用 户 之 外 ， 还 
会 通过 QQ 最 新 漏洞 传播 ， 通 过 网 络 文件 共享 、 默 认 共享 、 系 统 弱 口令 、U 盘 及 移动 硬盘 
等 多 种 途径 传播 。 而 局 域 网 中 只 要 有 一 台 计 算 机 感染 ， 就 可 以 瞬间 传 涡 整个 网 络 ， 甚 至 在 
极 短 时 间 之 内 就 可 以 感染 几 千 台 计算 机 ， 严 重 时 可 以 导致 网 络 瘫痪 。 中 毒 症状 表现 为 计算 
机 中 所 有 可 执行 的 EXE 文件 都 变 成 了 一 种 怪异 的 图 案 ， 该 图 案 显 示 为 “熊猫 烧香 ”， 继 而 
系统 蓝屏 、 频 繁重 启 、 硬 盘 数 据 被 破坏 等 ,严重 的 整个 公司 局 域 网 内 所 有 计算 机 全 部 中 毒 。 

对 此 ， 江 民 公 司 的 反 病毒 专家 分 析 认 为 : 目前 存在 三 大 原因 导致 病毒 快速 传播 。 一 是 
大 量 的 企业 用 户 使 用 国外 杀毒 软件 ， 而 国外 杀毒 软件 对 于 此 类 国产 病毒 响应 速度 特别 慢 。 
二 是 由 于 被 种 植 “ 熊 猫 烧香 ”病毒 网 站 的 点 击 量 的 全 球 排名 均 在 前 300 名 之 列 ， 而 当 一 部 
分 网 站 编辑 本 身 计算 机 感染 了 病毒 之 后 ， 当 他 们 把 受 感染 文件 上 传 到 服务 器 后 ， 访 问 者 点 
击 此 类 受 感染 网 页 即 中 毒 ， 因 此 该 病毒 才 会 得 以 迅速 传播 。 三 是 其 病毒 具有 极 强 的 变种 能 
力 ， 仅 从 2006 年 11 月 至 年 底 短 短 一 个 多 月 的 时 间 ， 该 病毒 就 变种 将 近 三 十 余 次 ， 因 此 在 
许多 用 户 疏 于 防范 而 没有 更 新 杀毒 软件 时 ， 该 病毒 即 可 借 机 迅速 传播 。 

下 面 简 单 叙述 一 下 “熊猫 烧香 ”的 案件 过 程 。 李 俊 于 2006 年 10 月 开始 制作 计算 机 病 
毒 “ 熊 猫 烧香 ”， 并 请 雷 硕 对 该 病毒 提 修 改建 议 。 雷 硕 认 为 ， 该 病毒 会 修改 被 感染 文件 的 图 
标 ， 且 没有 隐藏 病毒 进程 ， 容 易 被 发 现 ， 建 议 李 俊 从 这 两 个 方面 对 该 病毒 进行 修改 。 李 俊 


第 
5 
章 


癣 三 蕉 大 


风疹 人 委 会 与 合理 ( 谎 二 把 ) 


按照 雷 磊 的 建议 修改 了 “熊猫 烧香 ”病毒 ， 由 于 其 技术 方面 的 原因 而 使 修改 后 的 病毒 虽然 
不 改变 别人 的 图 标 ， 但 会 使 别人 的 图 标 变 花 、 变 模糊 ， 隐 藏 病毒 进程 问题 也 没有 解决 。 
2007 年 1 月 ， 雷 磊 亲 自 对 该 病毒 进行 修改 ， 也 未 能 解决 上 述 两 个 问题 。2006 年 11 月 中 旬 ， 
李 俊 在 互联 网 上 叫卖 该 病毒 ， 同 时 也 请 王磊 及 其 他 网 友 帮 助 出 售 该 病毒 。 随 着 病毒 的 出 售 
和 赠送 给 网 友 ,“ 熊 猫 烧 香 ” 病 毒 迅速 在 互联 网 上 传播 ， 由 此 导致 自动 链接 李 俊 个 人 网 站 
wwwkrvkrcom 的 流量 大 幅 上 升 。 王 磊 得 知 此 情形 后 ， 主 动 提 出 为 李 俊 卖 “流量 ” 并 联系 
被 告 人 张 顺 购 买 李 俊 网 站 的 “流量 ”所 得 收入 由 王磊 和 李 俊 平分 。 为 了 提高 访问 李 俊 网 站 
的 速度 ， 减 少 网 络 拥堵 ， 王 大 和 李 俊 商 量 后 ， 由 王磊 化 名 董 磊 为 李 俊 的 网 站 在 南昌 锋 讯 网 
络 科技 有 限 公司 租用 了 一 个 2GB 内 存 、 百 兆 独 享 线路 的 服务 器 ， 租 金 由 李 俊 、 王 厦 每 月 各 
负担 800 元 。 张 顺 购买 李 俊 网 站 的 流量 后 ， 先 后 将 9 个 游戏 木马 挂 在 李 俊 的 网 站 上 ， 盗 取 
自动 链接 李 俊 网 站 游戏 玩家 的 “游戏 信封 ” 并 将 盗 取 的 “游戏 信封 ”进行 拆 封 、 转 卖 ， 从 
而 获取 利益 。 从 2006 年 12 月 至 2007 年 2 月 ， 李 俊 获 利 145 149 元 ， 王 大 获 利 80 000 元 ， 
张 顺 获 利 12 000 元 。“ 熊 猫 烧香 ”病毒 的 传播 造成 北京 、 上 海 、 天 津 、 山 西 、 河 北 、 辽 宁 、 
广东 、 湖 北 等 省 市 众多 单位 和 个 人 的 计算 机 受到 病毒 感染 ， 不 能 正常 运行 ， 同 时 也 使 众多 
游戏 玩家 的 游戏 装备 、 游 戏 币 被 盗 。2007 年 2 月 2 日 ， 李 俊 将 其 网 站 关闭 ， 之 后 再 未 开启 
该 网 站 。 被 告 人 李 俊 归 案 后 ， 向 公安 机 关 提 供 线索 抓获 了 其 他 同 案 人 。 案 发 后 ， 被 告 人 李 
俊 、 王 磊 、 张 顺 退 回 了 所 得 的 全 部 赃款 。 被 告 人 李 俊 交 出 “熊猫 烧香 ”病毒 专 杀 工 具 。 

法 院 认 为 : 4 被 告 均 构成 破坏 计算 机 信息 系统 罪 。 根 据 刑 法 第 二 百 八 十 六 条 规定 : 违 
法 国家 规定 ， 对 计算 机 信息 系统 功能 进行 删除 、 修 改 、 增 加 、 干 扰 ， 造 成 计算 机 信息 系统 
不 能 正常 运行 ， 后 果 严 重 的 ， 处 五 年 以 下 有 期 徒刑 或 者 拘役 ， 后 果 特 别 严 重 的 ， 处 五 年 以 
上 有 期 徒刑 ， 故 意 制作 、 传 播 计算 机 病毒 等 破坏 性 程序 ， 影 响 计 算 机 系统 正常 运行 ， 后 果 
严重 的 依照 第 一 款 的 规定 处 罚 。 

。 被 告 人 李 俊 犯 破坏 计算 机 信息 系统 罪 ， 判 处 有 期 徒刑 四 年 ; 

。 被 告 人 王磊 犯 破坏 计算 机 信息 系统 罪 ， 判 处 有 期 徒刑 两 年 六 个 月 ; 

。 被 告 人 张 顺 犯 破坏 计算 机 信息 系统 罪 ， 判 处 有 期 徒刑 两 年 ; 

。 被 告 人 雷 硕 犯 破坏 计算 机 信息 系统 罪 ， 判 处 有 期 徒刑 一 年 。 

被 告 人 李 俊 的 违法 所 得 人 民 币 145 149 元 ， 被 告 人 王 硕 的 违法 所 得 人 民 币 80 000 元 ， 
被 告 人 张 顺 的 违法 所 得 人 民 币 12 000 元 ， 予 以 没收 ， 上 缴 国 库 。 

预防 “熊猫 烧香 ”这 类 病毒 的 措施 : 

(1) 立即 检查 本 机 administrators 组 成 员 口令 ， 一 定 要 放弃 简单 口令 甚至 空 口令 ， 安 全 
的 口令 是 字母 数字 特殊 字符 的 组 合 ， 自 己 记得 住 ， 别 让 病毒 猜 到 就 行 。 

修改 方法 : 右键 单 击 “ 我 的 计算 机 ” 从 弹出 的 快捷 菜单 中 选择 “管理 ”命令 ， 在 打 
开 的 “计算 机 管理 ”窗口 中 选择 “本 地 用 户 和 组 ”节点 ， 在 右边 的 窗 格 中 选择 具备 管理 员 
权限 的 用 户 名 右 击 ， 从 弹出 的 快捷 菜单 中 选择 “设置 密码 ”命令 ， 输 入 新 密码 即 可 ， 如 
图 5.4 所 示 。 

(2) 利用 组 策略 ， 关 闭 所 有 驱动 器 的 自动 播放 功能 。 

修改 方法 : 选择 “开始 ”一 “和 运行” 命令， 在 打开 的 对 话 框 中 输入 gpeditmsc， 打 开 
“组 策略 ”窗口 ， 选 择 “ 计 算 机 配置 ”一 “管理 模板 ”一 “系统 ”节点 ， 在 右边 的 窗 格 中 双 
击 “ 关 闭 自动 播放 ” 该 配置 缺 省 是 未 配置 .在 弹出 对 话 框 中 的 下 拉 框 中 选择 “所 有 驱动 器 ” 
再 选取 “已 启用 ” 单 选 按钮 ， 单 击 “ 确 定 ”按钮 后 关闭 。 最 后 ， 选 择 “ 开 始 ” 一 “运行 
命令 ， 在 打开 的 对 话 框 中 输入 gpupdate， 单 击 “ 确 定 ” 按 钮 后 该 策略 就 生效 了 。 


刀 文才 四 如 作风 查看 如 窗口 加 帮助 如 
4 二 加 图 X 包 双鱼 
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设 定 用 户 密码 。 


图 5.4 设置 用 户 密码 


(3) 修改 文件 夹 选项 ， 以 查看 不 明文 件 的 真实 属性 ， 避 免 无 意 双击 骗子 程序 中 毒 。 

修改 方法 : 打开 资源 管理 器 ( 按 Windows 微 标 键 +E 组 合 键 )， 选 择 “ 工 具 ” 一 “文件 
夹 选项 ”命令 ， 再 选择 “查看 ”选项 卡 ， 在 “高 级 设置 ”列表 框 中 选择 查看 所 有 文件 ， 取 
消 对 “隐藏 受 保护 的 操作 系统 文件 ”和 “隐藏 已 知 文件 类 型 的 扩展 名 ” 复 选 框 的 勾 选 。 

(4) 时 刻 保 持 操作 系统 获得 最 新 的 安全 更 新 ， 不 要 随意 访问 来 源 不 明 的 网 站 ， 特 别 是 
微软 公司 的 MS06-014 漏洞 ， 应 立即 打 好 该 漏洞 补丁 。 同 时 ，QQ、MSN 的 漏洞 也 可 以 被 
该 病毒 利用 ， 因 此 ， 用 户 应 该 去 官方 网 站 打 好 最 新 补丁 。 此 外 ， 由 于 该 病毒 会 利用 正 浏览 
器 的 漏洞 进行 攻击 ， 因 此 用 户 还 应 该 给 正 打 好 所 有 的 补丁 。 如 果 必 要 的 话 ， 用 户 可 以 暂时 
换 用 Firefox、Opera 等 比较 安全 的 浏览 器 。 

(5) 启用 Windows 防火 墙 保护 本 地 计算 机 。 局 域 网 用 户 尽量 避免 创建 可 写 的 共享 日 
录 ， 已 经 创建 共享 目录 的 应 立即 停止 共享 。 

此 外 ， 对 于 未 感染 的 用 户 ， 病 毒 专家 建议 不 要 登录 不 恨 网 站 ， 及 时 下 载 微软 公司 公布 
的 最 新 补丁 来 避免 病毒 利用 漏洞 袭击 用 户 的 计算 机 ， 同 时 上 网 时 应 采用 “杀毒 软件 十 防火 
墙 ” 的 立体 防御 体系 。 

2.“U 盘 寄 生 虫 ”病毒 

金山 反 病毒 中 心 将 该 病毒 统称 为 “AV 终结 者 ” 瑞星 反 病毒 中 心 将 该 病毒 称 为 “ 帕 虫 ”， 
江 民 反 病 毒 中 心 将 该 病毒 称 为 “U 盘 寄 生 虫 ”。 

“TU 盘 寄 生 虫 ”是 一 款 利 用 U 盘 等 移动 存储 设备 传播 的 蠕虫 病毒 ， 通 过 网 络 大 规模 自 
动 传播 ， 传 播 方式 包括 电子 邮件 、 网 络 共享 、 系 统 漏洞 、 即 时 通信 软件 等 。“U 盘 寄 生 虫 ” 
会 利用 U 盘 、MP3、 移 动 硬 盘 等 设备 中 的 自动 播放 文件 发 作 ， 大 量 占 用 系统 资源 ， 使 计算 
机 运行 缓慢 、 无 法 上 网 ， 甚 至 导致 系统 瘫痪 。 此 外 ， 受 到 攻击 的 局 域 网 还 可 能 出 现 网 络 堵 
塞 、 凑 痪 等 严重 症状 。 

“TU 盘 寄 生 虫 ”是 蠕虫 家 族 的 重要 成 员 之 一 ， 采 用 Delphi 语言 编写 ， 并 经 过 加 壳 处 理 。 
“U 盘 寄 生 虫 ”运行 后 自我 复制 到 系统 盘 根 目录 下 ， 文 件 名 为 testexe， 将 文件 属性 设置 为 
“隐藏 %” 并 在 相同 目录 下 创建 autorun.inf 文件 ， 达 到 双击 盘 符 就 可 启动 “U 盘 寄 生 虫 ” 病 
毒 的 目的 。 普 通用 户 一 旦 感染 该 病毒 ， 从 病毒 进入 计算 机 ， 到 实施 破坏 ，4 步 就 可 导致 用 
户 计算 机 彻底 崩溃 。 第 一 步 禁用 所 有 杀毒 软件 及 相关 安全 工具 ， 让 计算 机 失去 安全 保障 ; 
第 二 步 破 坏 安全 模式 ， 致 使 用 户 根本 无 法 进入 安全 模式 清除 病毒 ; 第 三 步 强行 关闭 带 有 病 
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毒 字样 的 网 页 ， 只 要 在 网 页 中 输入 “病毒 ”相关 字样 ， 网 页 遂 被 强行 关闭 ， 即 使 是 一 些 安 
全 论坛 也 无 法 登录 ， 用 户 无 法 通过 网 络 寻求 解决 办 法 ; 第 四 步 格式 化 系统 盘 重 装 后 很 容易 
被 再 次 感染 。 

日 户 格式 化 后 ， 只 要 双击 其 他 盘 符 ， 病 毒 将 再 次 运行 。 此 外 ， 用 户 计算 机 的 安全 防御 
体系 被 彻底 摧毁 ， 安 全 性 几乎 为 零 ， 而 “AV 终结 者 ”自动 连接 到 拥有 病毒 的 网 站 ， 并 下 
载 数 百 种 木马 病毒 ， 各 类 盗号 木马 、 广 告 木 马 、 风 险 程序 在 用 户 计算 机 毫 无 抵抗 力 的 情况 
下 ， 鱼 贯 而 来 ， 用 户 的 网 银 、 网 游 、QQ 账号 密码 及 机 密 文 件 都 处 于 极度 危险 之 中 。 因 此 ， 
提醒 计算 机 用 户 目 前 使 用 计算 机 需 慎之 又 慎 。 

据 瑞星 反 病毒 中 心 表 示 :“ 该 病毒 采用 了 多 种 技术 手段 来 保护 自身 不 被 清除 ， 例 如 它 
会 终结 几 十 种 常用 的 杀毒 软件 ， 如 果 用 户 使 用 Google、 百 度 等 搜索 引擎 搜索 “病毒 ” 浏 
览 器 也 会 被 病毒 强制 关闭 ， 使 得 用 户 无 法 取得 相关 信息 。 尤 为 恶劣 的 是 ， 该 病毒 还 采用 了 
IFEO 劫持 (Windows 文件 映像 动 持 ) 技术 ， 修 改 注 册 表 ， 使 QQ 医生 、360 安全 卫士 等 几 
十 种 常用 软件 无 法 正常 运行 ， 从 而 使 得 用 户 很 难 手工 清除 该 病毒 ” 

此 外 ， 据 反 病毒 专家 介绍 :“ 该 病毒 通过 映像 动 持 技术 将 大 量 杀 毒 软件 “绑架 ”， 使 其 
无 法 正常 应 用 ， 而 用 户 在 点 击 相 关 安 全 软件 后 ， 实 际 上 已 经 运行 了 病毒 文件 ， 实 现 病毒 的 
“ 先 劫持 后 掉包 ”计划 。 该 病毒 不 但 可 以 劫持 大 量 杀毒 软件 及 安全 工具 ， 而 且 还 可 禁止 
Windows 的 自动 更 新 和 系统 自 带 的 防火 墙 ， 大 大 降低 了 用 户 系统 的 安全 性 ， 这 也 是 近 几 年 
来 对 用 户 的 系统 安全 破坏 程度 最 大 的 一 个 病毒 之 一 。 而 且 该 病毒 还 会 在 每 个 磁盘 分 区 上 建 
芯 自 动 运行 文件 (包括 U 盘 )， 从 而 使 得 通过 TU 盘 传 播 的 概率 大 大 增加 。 同 时 ， 由 于 每 个 
分 区 上 都 有 病毒 留 下 的 文件 ,普通 用 户 即 使 格式 化 C 盘 重 装 系统 ,也 无 法 彻底 清除 该 病毒 ”。 

病毒 专家 建议 ， 计 算 机 用 户 应 及 时 升级 杀毒 软件 ， 开 启 杀 毒 软件 “实时 监控 ”和 “ 系 
统 监测 ”功能 ， 防 范 已 知 和 未 知 病毒 。 针 对 越 来 越 多 的 病毒 通过 U 盘 传 播 的 特征 ， 专 家 建 
议 用 户 在 使 用 TU 盘 前 务必 先 使 用 杀毒 软件 进行 扫描 ， 确 认 无 毒 后 再 打开 。 此 外 ， 用 户 应 养 
成 恨 好 的 安全 习惯 ， 不 随意 点 击 不 明 链 接 和 运行 不 明文 件 ， 及 时 为 操作 系统 打 好 补丁 ， 关 
闭 系统 共享 及 为 系统 设置 复杂 的 口令 都 可 有 效 减少 病毒 侵害 。 

3. Mydoom 邮件 病毒 

Novarg/Mydoom.a 里 虫 是 2004 年 1 月 28 日 开始 传 入 我 国 的 一 个 通过 邮件 传播 的 蠕虫。 
在 全 球 所 造成 的 直接 经 济 损失 至 少 达 400 亿美 元 , 是 2004 年 1 月 份 十 大 病毒 之 首 。 该 蠕虫 
利用 欺骗 性 的 邮件 主题 和 内 容 来 诱 使 用 户 运行 邮件 中 的 附件 。 拒 绝 服务 的 方式 是 向 网 站 的 
Web 服务 发 送 大 量 GET 请 求 , 在 传播 和 攻击 过 程 中 会 占用 大 量 系统 资源 ， 导 致 系统 运行 变 
慢 。 蠕 虫 还 会 在 系统 上 留 下 后 门 ， 通 过 该 后 门 入 侵 者 可 以 完全 控制 被 感染 的 主机 。 

该 蠕虫 没有 使 用 特别 的 技术 和 系统 漏洞 ， 之 所 以 能 造成 如 此 大 的 危害 ， 主 要 还 是 由 于 
人 们 防范 意识 的 薄弱 和 蠕虫 本 身 传播 速度 较 快 的 缘故 。 该 蠕虫 主要 通过 电子 邮件 进行 传播 ， 
它 的 邮件 主题 、 正 文 和 所 带 附件 的 文件 名 都 是 随机 的 ， 另 外 它 还 会 利用 Kazaa 的 共享 网 络 
来 进行 传播 。 病 毒 文件 的 图 标 和 Windows 系统 的 记事 本 (Notepad.exe) 图 标 非常 相似 ， 运 
行 后 会 打开 记事 本 程序 ， 显 示 一 些 乱码 信息 ， 其 实 病 毒 已 经 开始 运行 了 。 病 毒 会 创建 名 为 
SwebSipcSmtxSO 的 排斥 体 来 判断 系统 是 否 已 经 被 感染 。 

蠕虫 在 系统 中 寻找 所 有 可 能 包含 邮件 地 址 的 文件 , 包括 地 址 短文 件 、 各 种 网 页 文件 等 ， 
从 中 提取 邮件 地 址 作为 发 送 的 目标 。 病 毒 会 避免 包含 以 下 信息 的 域名 : gov、mil、borlan、 
bsd、example 等 , 包含 以 下 信息 的 电子 邮件 账户 : accoun、ca、certific、icrosoft、info、linux 
等 。 当 病毒 检测 到 邮件 地 址 中 含有 上 述 域名 或 账户 时 则 忽略 该 地 址 ， 不 将 其 加 入 到 发 送 地 


mn 
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址 链表 中 。 

Mydoom 蜂 虫 病毒 除了 造成 网 络 资源 的 浪费 ， 阻 塞 网 络 ， 被 攻击 网 站 不 能 提供 正常 服 
务 外 ， 最 大 的 危险 在 于 安装 了 后 门 程序 。 该 后 门 即 shimgapi.dl， 通 过 修改 注册 表 ， 使 自身 
随 着 Explorer 的 启动 而 运行 ， 将 自己 加 载 到 了 资源 管理 器 的 进程 空间 中 。 后 门 监听 3127 
端口 ， 如 果 该 端口 被 占用 ， 则 递增 ， 但 不 大 于 3198。 后 门 提供 了 两 个 功能 : 

(1) 作为 端口 转发 代理 。 

(2) 作为 后 门 接收 上 传 程序 并 执行 。 

当 3127 端口 收 到 连接 之 后 ， 如 果 接 收 的 第 一 个 字符 是 x04， 转 入 端口 转发 流程 。 若 第 
二 个 字符 是 0x01， 则 取 3、4 两 个 字符 作为 目标 端口 ， 取 第 5~8 这 4 个 字 节 作为 目标 人 P 
地 址 ， 进 行 连接 并 和 当前 socket 数据 转发 。 接 收 的 第 一 个 字符 如 果 是 x85， 则 转 入 执行 命 
令 流 程 。 先 接收 4 个 字 节 ， 转 成 主机 字 节 序 后 验证 是 否 是 x133c9ea2， 验 证 通过 则 创建 临 
时 文件 接收 数据 ， 接 收 完毕 运行 该 文件 。 也 就 是 说 ， 只 要 把 任意 一 个 可 执行 文件 的 头 部 加 
上 5 个 字符 x85133c9ea2 作为 数据 发 送 到 感染 了 Mydoom.a 蠕虫 计算 机 的 3127 端口 ， 这 个 
文件 就 会 在 系统 上 被 执行 ， 从 而 对 被 感染 系统 的 安全 造成 了 极 大 的 威胁 。 

4. Nimda 蠕虫 病毒 

在 Nimda 蠕虫 病毒 出 现 以 前 ,“ 蠕 虫 ”技术 一 直 是 独立 发 展 的 。Nimda 病毒 第 一 次 将 
“蠕虫 ”技术 和 “计算 机 病毒 ”技术 结合 起 来 。 从 Nimda 的 攻击 方式 来 看 ，Nimda 里 虫 病 
毒 只 攻击 微软 公司 的 Windows 系列 操作 系统 。 Nimda 蠕虫 病毒 在 技术 实现 上 与 许多 蠕虫 病 
毒 都 有 一 些 共性 的 特点 ， 主 要 有 以 下 几 个 方面 : 

(1) 被 利用 的 系统 漏洞 。 它 通过 电子 邮件 、 网 络 临近 共享 文件 、 微 软 公司 正 异常 处 理 
MIME 头 漏洞 、Microsoft IIS UniCode 解码 目录 这 有 历 漏洞 、Microsoft IIS CGI 文件 名 错误 解 
码 漏洞 、Code Red 工 和 Sadmind/IIS 蠕虫 留 下 的 后 门 程序 共 6 种 方式 进行 传播 ， 其 中 前 三 
种 方式 是 病毒 传播 方式 。 

(2) 传播 方式 。 邮 件 传播 、IIS Web 服务 器 传播 、 文 件 共享 传播 、 通 过 网 页 进行 传播 、 
通过 修改 EXE 文件 进行 传播 、 通 过 Word 文档 进行 传播 、 感 染病 毒 文件 并 修改 System_.ini 
配置 、 后 门 安装 技术 。 

S， 冲 击 波 病毒 

冲击 波 病毒 的 行为 特征 如 下 : 

(1) 病毒 运行 时 会 将 自身 复制 为 %systemdir%\msblastexe。%systemdir% 是 一 个 变量 ， 
它 指 的 是 操作 系统 安装 目录 中 的 系统 目录 ,默认 是 c:\windows\system 或 c:\Winnt\system32。 

(2) 病毒 运行 时 会 在 系统 中 建立 一 个 名 为 BILLY 的 互 斥 量 ， 目 的 是 病毒 保证 在 内 存 
中 只 有 一 份 病毒 体 ， 避 免 用 户 发 现 。 

(3) 病毒 运行 时 会 在 内 存 中 建立 一 个 名 为 msblast.exe 的 进程 ， 该 进程 就 是 活 的 病毒 体 。 

(4) 病毒 会 修改 注册 表 , 在 HKEY LOCAL MACHINE\SOFTWARE\Microsoft\ Windows\ 
CurrentVersion\Run 中 添加 键 值 " windows auto update " = " msblastexe " ， 以 便 每 次 启动 系 
统 时 病毒 都 会 运行 。 

(5) 病毒 体内 隐藏 有 一 段 文本 信息 Ijust want to say LOVE YOU SANI!I Billy gates why 
do you make this possible? Stop making money and you Te your softwarel!l 。 

(6) 病毒 会 以 20s 为 间隔 ， 每 20s 检测 一 次 网 络 状态 ， 当 网 络 可 用 时 ， 病 毒 会 在 本 地 
的 UDP/69 端口 上 建立 一 个 TFTP 服务 器 ， 并 启动 一 个 攻击 传播 线程 ， 不 断 地 随机 生成 攻 
击 地 址 进行 攻击 。 另 外 ， 该 病毒 攻击 时 会 首先 搜索 子 网 的 他 地址 ， 以 便 就 近 攻 击 。 
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(7) 当 病 毒 扫描 到 计算 机 后 ， 就 会 向 目标 计算 机 的 TCP/135 端口 发 送 数据 。 

(8) 当 病 毒 攻击 成 功 后 ， 目 标 计 算 机 便 会 将 监听 的 TCP/4444 端口 作为 后 门 ， 并 绑 定 
cmd.exe。 然 后 蠕虫 会 连接 到 这 个 端口 ， 发 送 TFTP 下 载 信息 ， 目 标 主 机 通过 TFTP 下 载 病 
毒 并 运行 病毒 。 

(9) 当 病 毒 攻击 失败 时 ， 可 能 会 造成 没有 打 补 丁 的 Windows 系统 的 RCP 服务 崩溃 ， 
Window XP 系统 可 能 会 自动 重启 计算 机 。 

(10) 病毒 检测 到 当前 系统 月 份 是 8 月 之 后 或 者 当月 日 期 的 15 日 之 后 ， 就 会 向 微软 公 
司 的 更 新 站 点 windowsupdate.com 发 动 拒 绝 服 务 攻击 ， 使 微软 公司 网 站 的 更 新 站 点 无 法 为 
用 户 提供 服务 。 

从 上 面 冲击 波 病毒 的 行为 特征 可 以 看 出 ， 冲 击 波 病毒 与 其 他 两 个 病毒 的 不 同 点 在 于 其 
传播 方式 。 冲 击 波 病毒 利用 了 Windows 系统 的 DCOM RPC 缓冲 区 漏洞 攻击 系统 ， 一 旦 攻 
击 成 功 ， 病 毒 体 将 会 被 传送 到 对 方 计算 机 中 进行 感染 ， 不 需要 用 户 的 参与 ， 而 其 他 两 种 是 
通过 邮件 附件 的 方式 引诱 用 户 点 击 执行 。 破 坏 性 方面 因 病毒 而 异 ， 病 毒 的 执行 、 自 启动 方 
面 三 种 病毒 都 相似 。 

Remote Procedure Call (RPC) 是 运用 于 Windows 操作 系统 上 的 一 种 协议 。RPC 提供 
相互 处 理 通信 机 制 ， 允 许 运行 该 程序 的 计算 机 在 一 个 远程 系统 上 执行 代码 。RPC 协议 本 身 
源 于 OSF (Open Software Foundation) RPC 协议 ， 后 来 又 另外 增加 了 一 些 Microsoft 专用 
扩展 功能 。RPC 中 处 理 TCP/IP 信息 交换 的 模块 由 于 错误 的 处 理 畸 形 信 息 ， 导 致 存在 缓冲 
区 溢出 漏洞 ， 远 程 攻击 者 可 利用 此 缺陷 以 本 地 系统 权限 在 系统 上 执行 任意 指令 ， 如 安装 程 
序 、 查 看 或 更 改 、 删 除数 据 或 建立 系统 管理 员 权 限 的 账户 。 

据 CERT 安全 小 组 称 ， 操 作 系 统 中 超过 50% 的 安全 漏洞 都 是 由 内 存 溢 出 引起 的 ， 其 中 
大 多 数 与 微软 公司 技术 有 关 ， 这 些 与 内 存 溢出 相关 的 安全 漏洞 正在 被 越 来 越 多 的 蠕虫 病毒 
所 利用 。 缓 冲 区 溢出 是 指 当 计算 机 程序 向 缓冲 区 内 填充 的 数据 位 数 超过 缓冲 区 本 身 的 容量 
时 ， 溢 出 的 数据 就 会 覆盖 在 合法 数据 上 ， 这 些 数 据 可 能 是 数值 、 下 一 条 指令 的 指针 ， 或 者 
是 其 他 程序 的 输出 内 容 。 一 般 情况 下 ， 禾 盖 其 他 数据 区 的 数据 是 没有 意义 的 ， 最 多 造成 应 
用 程序 错误 。 但 是 ， 如 果 输 入 的 数据 是 经 过 “黑客 ”或 者 病毒 精心 设计 的 ， 履 盖 缓 冲 区 的 
数据 恰恰 是 “黑客 ”或 者 病毒 的 入 侵 程 序 代码 ,一旦 多 余 字 节 被 编译 执行 ,“ 黑 客 ”或 者 病 
毒 就 有 可 能 为 所 和 欲 为 ， 获 取 系统 的 控制 权 。 

溢出 根源 在 于 编程 缓冲 区 溢出 是 由 编程 错误 引起 的 。 如 果 缓 冲 区 被 写 满 ， 而 程序 没 
有 去 检查 缓冲 区 边界 ， 也 没有 停止 接收 数据 ， 这 时 缓冲 区 溢出 就 会 发 生 。 因 此 ， 防 止 利用 
缓冲 区 溢出 发 起 的 攻击 ， 关 键 在 于 程序 开发 者 在 开发 程序 时 仔细 检查 溢出 情况 ， 不 允许 数 
据 溢 出 缓冲 区 。 此 外 ， 用 户 需 要 经 常 登录 操作 系统 和 应 用 程序 提供 商 的 网 站 ， 跟 踪 公 布 的 
系统 漏洞 ， 及 时 下 载 补丁 程序 ， 弥 补 系统 漏洞 。 


5.2.7 蠕虫 病毒 的 防治 


蠕虫 病毒 的 一 般 防 治 方法 是 使 用 具有 实时 监控 功能 的 杀毒 软件 ， 防 范 邮件 蠕虫 的 最 好 
办 法 就 是 提高 自己 的 安全 意识 ， 不 要 轻易 打开 带 有 附件 的 电子 邮件 。 另 外 ， 可 以 启用 杀毒 
软件 的 “邮件 发 送 监控 ”和 “邮件 接收 监控 ”功能 ， 也 可 以 提高 自己 对 病毒 邮件 的 防护 
能 力 。 

1. 一 般 防治 措施 
因为 目前 的 蠕虫 病毒 越 来 越 表 现 出 三 种 传播 趋势 : 邮件 附件 、 无 口令 或 弱 口令 共享 、 


利用 操作 系统 或 者 应 用 系统 漏洞 来 传播 病毒 ， 所 以 防治 蠕虫 也 应 从 这 三 方面 下 手 : 

(1) 针对 通过 邮件 附件 传播 的 病毒 。 

在 邮件 服务 器 上 安装 杀毒 软件 ， 对 附件 进行 杀毒 。 在 客户 端 ( 主 要 是 Outlook) 限制 访问 
附件 中 的 特定 扩展 名 的 文件 ， 如 P 正 、VBS、JS、EXE 等 ， 用 户 不 运行 可 疑 邮 件 携带 的 附件 。 

(2) 针对 弱 口 令 共享 传播 的 病毒 。 

严格 来 说 ， 通 过 共享 和 弱 口 令 传 播 的 蠕虫 大 多 也 利用 了 系统 漏洞 。 这 类 病毒 会 搜索 网 
络 上 的 开放 共享 并 复制 病毒 文件 ， 更 进一步 的 蠕虫 还 自 带 了 口令 猜测 的 字典 来 破解 薄弱 用 
户口 令 , 尤其 是 薄弱 管理 员 口 令 。 对 于 此 类 病毒 , 在 安全 策略 上 需要 增加 口令 的 强度 策略 ， 
保证 必要 的 长 度 和 复杂 度 ; 通过 网 络 上 的 其 他 主机 定期 扫描 开放 共享 和 对 登录 口令 进行 破 
解 尝试 ， 发 现 问题 及 时 整改 。 

(3) 针对 通过 系统 漏洞 传播 的 病毒 。 

配置 Windows Update 自动 升级 功能 ， 使 主机 能 够 及 时 安装 系统 补丁 ， 防 患 于 未 然 ; 定 
期 通过 漏洞 扫描 产品 查找 主机 存在 的 漏洞 ， 发 现 漏洞 ， 及 时 升级 ; 关注 系统 提供 商 、 安 全 
厂商 的 安全 警告 ， 如 有 问题 则 采取 相应 措施 。 

(4) 重 命名 或 删除 命令 解释 器 。 

例如 ，Windows 系统 下 的 WScriptexe， 通 过 防火 墙 禁 止 除 服 务 端 口外 的 其 他 端口 ， 切 
断 蠕虫 的 传播 通道 和 通信 通道 。 

2. 个 人 用 户 对 蠕虫 病毒 的 防范 措施 

通过 上 述 的 分 析 和 介绍 可 以 知道 ， 病 毒 并 不 是 非常 可 怕 的 ， 网 络 蠕虫 病毒 对 个 人 用 户 
的 攻击 主要 还 是 通过 社会 工程 学 , 而 不 是 利用 系统 漏洞 ,所 以 防范 此 类 病毒 需要 注意 以 下 几 点 : 

(1) 选 购 合适 的 杀毒 软件 。 网 络 蠕虫 病毒 的 发 展 已 经 使 传统 的 杀毒 软件 的 “文件 级 实 
时 监控 系统 ”落伍 ， 杀 毒 软件 必须 向 内 存 实 时 监控 和 邮件 实时 监控 发 展 。 另 外 ， 面 对 防 不 
胜 防 的 网 页 病毒 ， 也 使 得 用 户 对 杀毒 软件 的 要 求 越 来 越 高 。 

(2) 经 常 升级 病毒 库 。 杀 毒 软件 对 病毒 的 查 杀 是 以 病毒 的 特征 码 为 依据 的 ， 而 病毒 每 
天 都 层出不穷 ， 尤 其 是 在 网 络 时 代 ， 蠕 虫 病毒 的 传播 速度 快 、 变 种 多 ， 所 以 必须 随时 更 新 
病毒 库 ， 以 便 能 够 查 杀 最 新 的 病毒 。 

(3) 提高 防 杀 毒 意识 。 不 要 轻易 去 点 击 陌生 的 站 点 ， 有 可 能 里 面 就 含有 恶意 代码 。 当 
运行 琅 时 ， 选 择 “ 工 具 ” 一 “Internet 选项 ”命令 ， 在 打开 的 “Internet 属性 ”对 话 框 中 选 
择 “ 安 全 ”选项 卡 ， 在 “该 区 域 的 安全 级 别 ” 区 域 将 安全 级 别 由 “中 ” 改 为 “高 ”>。 因 为 这 
一 类 网 页 主要 是 含有 恶意 代码 的 ActiveX 或 Applet、JavaScript 的 网 页 文件 ， 所 以 在 正 设 
置 中 将 ActiveX 插件 和 控件 、Java 脚本 等 全 部 禁止 ， 就 可 以 大 大 减少 被 网 页 恶意 代码 感染 
的 几率 。 具 体操 作 是 在 正 窗口 中 选择 “工具 ”一 “Intemet 选项 ”命令 ,在 弹出 的 “Internet 
属性 ”对 话 框 中 选择 “安全 ”选项 卡 ， 单 击 “ 自 定义 级 别 ” 按 钮 ， 如 图 5.5 所 示 。 在 弹出 
的 “安全 设置 ”对 话 框 中 ， 将 所 有 ActiveX 控件 和 插件 及 与 Java 相关 的 全 部 选项 选择 “ 禁 
用 ” 单 选 按钮 。 但 是 ， 这 样 做 在 以 后 的 网 页 浏览 过 程 中 有 可 能 会 使 一 些 正常 应 用 ActiveX 
的 网 站 无 法 浏览 。 

(4) 不 随意 查看 陌生 邮件 ， 尤 其 是 带 有 附件 的 邮件 。 由 于 有 的 病毒 邮件 能 够 利用 焉 
和 Outlook 的 漏洞 自动 执行 ， 因 此 计算 机 用 户 需要 升级 正 和 Outlook 程序 ， 以 及 其 他 常用 
的 应 用 程序 。 

(5) 打 好 相应 的 系统 补丁 。 可 以 应 用 瑞星 杀毒 软件 的 “漏洞 扫描 ”或 360 安全 卫士 拉 
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工具 ， 这 些 工具 可 以 引导 用 户 打 好 补丁 并 进行 相应 的 安全 设置 ， 彻 底 杜 绝 病毒 的 感染 。 
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(6) 警惕 聊天 软件 发 来 的 信息 。 从 2004 年 起 , MSN、QQ 等 聊天 软件 开始 成 为 蠕虫 病 
毒 传播 的 途径 之 一 。“ 性 感 烤 鸡 ”病毒 就 通过 MSN 软件 传播 ， 在 很 短 时 间 内 席卷 全 球 ， 一 
度 造成 中 国 大 陆地 区 部 分 网 络 运行 异常 。 对 于 普通 用 户 来 讲 ， 防 范 聊天 蠕虫 的 主要 措施 之 
一 就 是 提高 安全 防范 意识 ， 对 于 通过 聊天 软件 发 送 的 任何 文件 和 信息 ， 都 要 经 过 好 友 确 认 
后 再 运行 ， 不 要 随意 点 击 聊天 软件 发 送 的 网 络 链接 。 

3， 蠕虫 技术 发 展 的 趋势 

(1) 与 病毒 技术 的 结合 。 很 早 的 病毒 编写 者 就 提出 过 这 样 的 思路 ， 现 在 已 经 变 成 了 现 
实 。 越 来 越 多 的 蠕虫 开始 结合 病毒 技术 ， 在 攻击 计算 机 系统 之 后 继续 攻击 文件 系统 ， 从 而 
导致 传播 机 制 的 多 样 化 。 

(2) 动态 功能 升级 技术 。 提 出 动态 调整 蠕虫 程序 的 思路 顺理成章 ， 这 样 的 里 虫 可 以 升 
级 上 文 提 到 的 功能 模型 中 除 控制 模块 外 的 所 有 功能 模块 ， 从 而 获得 更 强 的 生存 能 力 和 攻击 


能 力 。 

(3) 通信 技术 。 蜂 虫 之 间 、 编 写 者 与 蠕虫 之 间 传 递 信 息 和 指令 的 功能 将 成 为 未来 蠕虫 
编写 的 重点 技术 。 

(4) 隐身 技术 。 操 作 系统 内 核 一 级 的 黑客 攻防 技术 将 会 进一步 纳入 到 蠕虫 的 功能 中 来 
隐藏 蠕虫 的 踪迹 。 

(5) 巨型 蠕虫 。 蠕 虫 程序 包含 多 操作 系统 的 运行 程序 版 本 ， 包 含 丰富 的 漏洞 库 ， 从 而 
具有 更 强大 的 传染 能 力 。 


(6) 分 布 式 蠕虫 。 数 据 部 分 同 运行 代码 分 布 在 不 同 的 计算 机 之 间 ， 运 行 代码 在 攻击 时 
从 数据 存放 地 获取 攻击 信息 。 同 时 ， 攻 击 代码 用 一 定 的 算法 来 在 多 台 计算 机 上 寻找 、 复 制 
数据 的 存放 地 。 不 同 功能 模块 分 布 在 不 同 的 计算 机 之 间 ， 协 调 工 作 ， 产 生 更 强 的 隐蔽 性 和 
5.2.8 ” 病毒、 木马、 蠕虫 比较 

通过 网 络 传播 的 病毒 不 是 网 络 病毒 ， 只 有 蠕虫 等 一 些 威胁 可 以 算 作 网 络 病毒 。 蠕 虫 病 


毒 也 不 是 普通 病毒 所 能 比拟 的 ， 网 络 的 发 展 使 得 蠕虫 可 以 在 短 短 的 时 间 内 蔓延 整个 网 络 ， 
造成 网 络 瘫痪 。 表 5.1 列 出 了 病毒 、 木 马 、 蜂 虫 的 各 自 特点 和 区 别 ， 便 于 理解 。 


表 5.1 病毒、 森马、 蠕虫 比较 


计算 机 病毒 特 洲 全 木 可 计算 仙姑 下 

感 末 其 他 档案 会 去 不 

被 动 散播 自己 是 十 不 是 

主动 散播 自己 不 是 不 是 是 

i 计算 机 使 用 率 越 高 ,档案 。 取决 于 网 络 连 接 情况 ， 范 
造成 程序 增加 数目 。 受 感染 的 数目 越 多 不 会 增加 围 越 广 ， 散 布 的 数目 越 多 
破坏 力 取决 于 病毒 作者 取决 于 病毒 作者 无 

对 企业 的 影响 中 低 高 


网 络 用 户 所 受 网 络 攻 击 类 型 统计 如 图 5.6 所 示 ， 计 算 机 病毒 、 蠕 虫 和 木马 程序 造成 的 
安全 事件 占 发 生 安 全 事件 单位 总 数 的 79%; 拒绝 服务 、 端 口 扫描 和 算 改 网 页 等 网 络 攻 击 事 
件 占 43%; 大 规模 垃圾 邮件 传播 造成 的 安全 事件 占 36%; 54% 的 被 调查 单位 网 络 安全 事件 
造成 的 损失 比较 轻微 ， 损 失 严 重 和 非常 严重 的 占 发 生 安 全 事件 单位 总 数 的 10%。 


计算 机 病毒 、 里 ; 
拒绝 服务 、 端 口 的 史 
扫描 和 复 改 网 页 

大 规模 垃 专 ， 


0 10% 20% 30% 40% 50% 60% 70% 80% 90% 


图 5.6 ”网 络 用 户 所 受 网 络 攻击 类 型 


5.2.9 ”网络 病毒 的 发 展 趋势 


随 着 网 络 的 发 展 ， 网 络 病毒 呈现 出 一 些 新 的 发 展 趋 势 ， 主 要 有 以 下 几 点 : 

(1) 传播 介质 与 攻击 对 象 多 元 化 ， 传 播 速度 更 快 ， 履 盖 面 更 广 。 网 络 病毒 的 传播 不 仅 
可 利用 磁 介 质 ， 更 多 的 是 通过 各 种 通信 端口 、 网 络 和 邮件 等 迅速 传播 。 攻 击 对 象 由 单一 的 
个 人 计算 机 变 为 所 有 具备 通信 功能 的 工作 站 、 服 务 器 甚至 掌上 型 移动 通信 工具 和 PDA。 

(2) 破坏 性 更 强 。 网 络 病毒 的 破坏 性 日 益 增强 ， 它 们 可 以 造成 网 络 拥塞 、 进 而 瘫痪 ， 
重要 数据 丢失 ， 机 密 信息 失窃 ， 甚 至 通过 病毒 完全 控制 计算 机 信息 系统 和 网 络 。 

(3) 难以 控制 和 根治 。 在 网 络 中 ， 只 要 有 一 台 计 算 机 感染 病毒 ， 就 可 通过 内 部 机 制 进 
行 传播 ， 很 快 使 整个 网 络 受到 影响 甚至 拥塞 或 瘫痪 。 
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(4) 病毒 携带 形式 多 样 化 。 在 网 络 环境 下 ， 可 执行 程序 、 脚 本 文件 、HTML 网 页 、 电 
子 邮件 、 网 上 贺卡 甚至 卡通 图 片 等 都 有 可 能 携带 计算 机 病毒 。 

(5) 编写 方式 多 样 化 ， 病 毒 变种 多 。 网 络 环境 下 除了 传统 的 汇编 语言 、C 语言 等 ， 以 
JavaScript 和 VBScript 为 首 的 脚本 语言 已 成 为 最 流行 的 病毒 语言 。 利 用 新 的 编程 语言 与 编 
程 技术 实现 的 病毒 更 易于 被 修改 以 产生 新 的 变种 ， 从 而 逃避 反 病 毒 软件 的 检查 。 另 外 ， 已 
经 出 现 了 专门 生产 病毒 的 病毒 生产 机 程序 ， 使 得 新 病毒 出 现 的 频率 大 大 提高 。 

(6) 触发 条 件 增多 ， 感 染 与 发 作 的 几率 增 大 。 

(7) 智能 化 ， 隐 项 化 。 目 前 网 络 病毒 常常 用 到 隐形 技术 、 反 跟踪 技术 、 加 密 技 术 、 自 
变异 技术 、 自 我 保护 技术 、 针 对 某 种 反 病 毒 技术 的 反 措施 技术 及 突破 计算 机 网 络 防护 措施 
的 技术 等 ， 这 使 得 网 络 环境 下 的 病毒 更 加 智能 化 、 隐 项 化 。 

(8) 攻击 目的 明确 化 。 一 些 高 级 病毒 出 于 某 种 经 济 或 政治 上 的 目的 ， 被 研制 出 来 扰乱 
或 破坏 社会 信息 、 政 治 、 经 济 秩 序 ， 甚 至 是 作为 一 种 信息 战略 武器 。 


5.2.10 计算 机 防毒 杀毒 的 常见 误区 


1. 有 了 杀毒 软件 就 可 以 什么 毒 都 不 怕 

真 的 有 了 杀毒 软件 就 什么 毒 也 不 怕 吗 ? 答案 肯定 是 不 行 的 ， 不 断 有 新 的 病毒 出 现 ， 而 
且 它 的 出 现 往往 无 法 预料 ， 杀 毒 软件 也 要 不 断 更 新 ， 要 不 断 升级 才能 对 付 新 出 现 的 病毒 。 
即使 这 样 ， 有 很 多 时 候 杀 毒 软件 升级 到 最 新 也 不 能 杀 掉 全 部 的 病毒 ， 升 级 到 最 新 只 是 能 让 
计算 机 拒绝 更 多 的 病毒 , 让 计算 机 处 于 更 安全 的 状态 , 并 不 意味 着 就 可 以 忽略 计算 机 安全 ， 
平时 还 是 要 注意 共享 安全 。 不 要 下 载 不 明 程序 ， 不 要 打开 不 明 网 页 等 。 

2， 装 杀毒 软件 越 多 越 好 

真 的 装 杀 毒 软件 越 多 越 好 吗 ? 其 实 不 同 厂 商 开 发 的 杀毒 软件 很 容易 引起 冲突 。 不 少 杀 
毒 厂商 为 了 避免 这 种 情况 的 发 生 , 在 安装 的 时 候 就 检测 计算 机 中 是 否 安装 有 其 他 杀毒 软件 ， 
目的 就 是 为 了 避免 两 个 杀毒 软件 同时 使 用 的 时 候 出 现 冲突 。 而 且 ， 对 于 大 部 分 的 病毒 ， 一 
般 一 个 杀毒 软件 就 可 以 杀 掉 ， 对 付 特 殊 病毒 也 有 不 少 专 杀 工具 。 装 的 杀毒 软件 越 多 ， 除 了 
可 能 出 现 冲 突 以 外 ,还 会 消耗 更 多 的 系统 资源 , 减 慢 计算 机 运行 速度 。 装 多 儿 个 杀毒 软件 ， 
得 益 没 多 少 ， 效 能 却 损失 很 大 。 所 以 ， 并 不 是 杀毒 软件 越 多 越 好 。 

3， 杀毒 软件 能 杀毒 就 行 了 

杀毒 软件 能 杀毒 就 行 ? 是 不 是 等 到 病毒 入 侵 然 后 才 来 杀毒 ? 有 些 人 关闭 了 杀毒 软件 ， 
想 减 小 系统 资源 的 消耗 ， 当 病毒 入 侵 的 时 候 才 用 杀毒 软件 来 杀毒 。 这 种 意识 是 不 行 的 ， 现 
在 病毒 肆虐， 无 孔 不 入 ， 一 不 小 心 就 会 “中 毒 ” 况且 现在 硬盘 之 大 , 令 很 多 杀毒 软件 杀毒 
时 间 都 很 长 。 而 且 假 如 病毒 入 侵 的 时 候 才 杀毒 ， 那 么 可 能 系统 早已 崩溃 ， 数 据 早已 丢失 ， 
为 时 已 晚 ， 到 时 候 损 失 就 大 了 。 因 此 ， 杀 毒 不 是 重点 ， 防 毒 才 是 最 重要 的 。 与 其 说 是 杀毒 
软件 ， 不 如 说 是 防毒 软件 更 好 。 

4. 只 要 我 不 上 网 就 不 会 有 病毒 

有 些 人 的 计算 机 连接 到 因特网 ， 以 为 只 要 不 打开 网 页 上 网 就 不 会 感染 病毒 ， 所 以 想 不 
打开 杀毒 软件 防毒 。 其 实 ， 虽然 不 少 病毒 是 通过 网 页 传播 的 ， 但 是 也 有 不 少 病毒 不 等 打开 
网 页 就 早 己 入 侵 到 计算 机 中 ， 这 个 是 必须 防范 的 。 冲 击 波 、 蠕 虫 病毒 等 都 会 在 不 知 不 觉 中 
进入 计算 机 。 而 且 ，U 盘 、 移 动 硬盘 也 会 存在 病毒 。 因此， 只 要 计算 机 开 着 ,最 好 就 防 着 。 


5. 文件 设置 只 读 就 可 以 避免 病毒 

设置 只 读 只 是 调用 系统 几 个 命令 而 已 ， 而 病毒 也 可 以 调用 系统 命令 。 因 此 ， 病 毒 可 以 
改 掉 文 件 属性 ， 严 重 的 可 以 删 掉 重要 文件 ， 格 式 化 硬盘 ， 让 系统 崩溃 。 设 置 只 读 并 不 能 有 
效 防毒 ， 不 过 对 于 局 域 网 中 为 了 共享 安全 ， 防 止 误 删除 ， 设 置 只 读 属 性 还 是 比较 有 用 的 。 

6 病毒 不 感染 数据 文件 

有 人 觉得 病毒 是 一 段 程序 ， 而 数据 文件 如 TXT、PCX 等 格式 文件 一 般 不 会 包含 程序 ， 
因此 不 会 感染 病毒 。 殊 不 知 像 Word、Excel 等 数据 文件 由 于 包含 了 可 执行 码 却 会 被 病毒 感 
染 ， 而 且 有 些 病 毒 可 以 让 硬盘 里 面 的 文件 全 部 格式 化 掉 ， 因 此 不 能 忽视 数据 文件 的 备份 。 

上 面 只 介绍 了 常见 的 防毒 杀毒 误区 ， 还 有 一 些 其 他 的 误区 ， 在 我 们 使 用 计算 机 的 时 候 
都 有 可 能 慢 慢 碰 到 。 在 使 用 计算 机 的 时 候 ， 最 重要 的 还 是 防毒 ， 而 要 做 好 防毒 ， 那 就 需要 
不 断 更 新 杀毒 软件 ， 同 时 注意 对 系统 进行 升级 。 


5.3 流 误 软件 


“流氓 软件 ”是 介 于 病毒 和 正规 软件 之 问 的 软件 ， 通 俗 地 讲 是 指 在 使 用 计算 机 上 网 时 ， 
不 断 跳出 的 窗口 让 自己 的 鼠标 无 所 适 从 ; 有 时 计算 机 浏览 器 被 莫名 修改 增加 了 许多 工作 条 ， 
当 用 户 打开 网 页 却 变 成 不 相干 的 奇怪 画面 ， 甚 至 是 黄色 广告 。 有 些 流 谍 软件 只 是 为 了 达到 
某 种 目的 ， 如 广告 宣传 ， 这 些 流氓 软件 虽然 不 会 影响 用 户 计算 机 的 正常 使 用 ， 但 在 启动 浏 
览 器 的 时 候 会 多 弹出 来 一 个 网 页 ， 从 而 达到 宣传 的 目的 。 

“流氓 软件 ”起 源 于 国外 的 Badware 一 词 ， 在 著名 的 网 站 上 对 Badware 的 定义 为 : 是 
一 种 跟踪 你 上 网 行为 并 将 你 的 个 人 信息 反馈 给 “ 躲 在 阴暗 处 的 ”市 场 利 益 集团 的 软件 ， 并 
且 可 以 通过 该 软件 向 你 弹出 广告 。Badware 又 可 分 为 间谍 软件 (Spyware )、 恶 意 软 件 
(Malware) 和 欺骗 性 广告 软件 (Deceptive Adware ) 。 

国内 互联 网 业界 人 士 一 般 将 该 类 软件 称 为 “流氓 软件 ?>， 并 归纳 出 间谍 软件 、 行 为 记 
录 软 件 、 浏 览 器 劫持 软件 、 搜 索引 擎 劫持 软件 、 广 告 软 件 、 自 动 拨号 软件 、 盗 窃 密码 软件 等 。 
5.3.1 流 训 软 件 定义 


流氓 软件 定义 为 :“ 在 未 明确 提示 用 户 或 未 经 用 户 许 可 的 情况 下 ， 在 用 户 计算 机 或 其 
他 终端 上 强行 安装 和 运行， 侵犯 用 户 合法 权益 的 软件 ， 但 已 被 我 国法 律 法 规 规定 的 计算 机 病 
毒 除外 ”。 它 具 有 如 下 特点 : 

1. 强制 安装 

指 在 未 明确 提示 用 户 或 未 经 用 户 许 可 的 情况 下 ， 在 用 户 计算 机 或 其 他 终端 上 强行 安装 
软件 的 行为 。 强 制 安装 ， 安 装 时 不 能 结束 它 的 进程 ， 不 能 选择 它 的 安装 路 径 ， 带 有 大 量 色 
情 广 告 甚至 计算 机 病毒 。 

2. 难以 卸载 

指 未 提供 通用 的 卸载 方式 ， 或 在 不 受 其 他 软件 影响 、 人 为 破坏 的 情况 下 ， 外 载 后 仍 活 
动 或 残存 程序 的 行为 。 

3. 浏览 器 劫持 

指 未 经 用 户 许可 ， 修 改 用 户 浏览 器 或 其 他 相关 设置 ， 人 迫使 用 户 访问 特定 网 站 或 导致 用 
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户 无 法 正常 上 网 的 行为 。 

4. 广告 弹出 

指 未 明确 提示 用 户 或 未 经 用 户 许 可 的 情况 下 ， 利 用 安装 在 用 户 计算 机 或 其 他 终端 上 的 
软件 弹出 色情 广告 等 广告 的 行为 。 

S. 恶意 收集 用 户 信息 

指 未 明确 提示 用 户 或 未 经 用 户 许 可 ， 恶 意 收 集 用 户 信息 的 行为 。 

6. 恶意 卸载 

指 未 明确 提示 用 户 、 未 经 用 户 许可 ， 或 误导 、 其 骗 用 户 御 载 非 恶 意 软 件 的 行为 。 

7. 恶意 捆绑 

指 在 软件 中 捆绑 已 被 认定 为 恶意 软件 的 行为 。 

8. 恶意 安装 

未 经 许可 的 情况 下 ， 强 制 在 用 户 计 算 机 里 安装 其 他 非 附带 的 独立 软件 。 

9. 其 他 

强制 安装 到 系统 盘 的 软件 或 侵犯 用 户 知情 权 、 选 择 权 的 恶意 行为 的 软件 也 被 称 为 流 谍 
软件 。 
S.3.2” 流 误 软 件 的 分 类 


根据 不 同 的 特征 和 和 危害， 困扰 广大 计算 机 用 户 的 流氓 软件 主要 有 如 下 几 类 : 

1. 广告 软件 

定义 : 广告 软件 (Adware) 是 指示 经 用 户 允 许 ， 下 载 并 安装 在 用 户 计算 机 上 ; 或 与 其 
他 软件 捆绑 ， 通 过 弹出 式 广告 等 形式 牟取 商业 利益 的 程序 。 

和 危害: 此 类 软件 往往 会 强制 安装 并 无 法 卸载 ; 在 后 台 收 集 用 户 信息 人 牟利， 危及 用 户 隐 
私 ; 频繁 弹出 广告 ， 消 耗 系统 资源 ， 使 其 运行 变 慢 等 。 

例如 ， 用 户 安装 了 某 下 载 软件 后 ， 会 一 直 弹 出 带 有 广告 内 容 的 窗口 ， 干 扰 正 常 使 用 。 
还 有 一 些 软 件 安装 后 , 会 在 正 浏览 器 的 工具 栏 位 置 添加 与 其 功能 不 相干 的 广告 图 标 , 普通 
用 户 很 难 清除 。 

2， 间谍 软件 

定义 : 间谍 软件 (Spyware) 是 一 种 能 够 在 用 户 不 知情 的 情况 下 ， 在 其 计算 机 上 安装 
后 门 、 收 集 用 户 信息 的 软件 。 

危害: 用 户 的 隐私 数据 和 重要 信息 会 被 “后 门 程序 ”捕获 ， 并 被 发 送 给 黑客 、 商 业 公 
司 等 。 这 些 “ 后 门 程 序 ” 甚 至 能 使 用 户 的 计算 机 被 远程 操纵 ， 组 成 庞大 的 “僵尸 网 络 ” 这 
是 网 络 安全 的 重要 隐患 之 一 。 

例如 ， 某 些 软件 会 获取 用 户 的 软 硬 件 配置 ， 并 发 送出 去 用 于 商业 目的 。 

3. 浏览 器 劫持 

定义 : 浏览 器 劫持 是 一 种 恶意 程序 ， 通 过 浏览 器 插件 、BHO (浏览 器 辅助 对 象 )、 
Winsock LSP 等 形式 对 用 户 的 浏览 器 进行 算 改 , 使 用 户 的 浏览 器 配置 不 正常 , 被 强行 引导 到 商 
业 网 站 。 

危害: 用 户 在 浏览 网 站 时 会 被 强行 安装 此 类 插件 ， 普 通用 户 根本 无 法 将 其 卸载 ， 被 动 
持 后 ， 用 户 只 要 上 网 就 会 被 强行 引导 到 其 指定 的 网 站 ， 严 重 影响 正常 上 网 浏览 。 


例如 ， 一 些 不 良 站 点 会 频繁 弹出 安装 窗口 ， 迫 使 用 户 安装 某 浏览 器 插件 ， 甚 至 根本 不 
征求 用 户 意见 ， 利 用 系统 漏洞 在 后 台 强 制 安装 到 用 户 计算 机 中 。 这 种 插件 还 采用 了 不 规范 
的 软件 编写 技术 (此 技术 通常 被 病毒 使 用 ) 来 逃避 用 户 扼 载 ， 往 往 会 造成 浏览 器 错误 、 系 
统 异 常 重启 等 。 

4. 行为 记录 软件 

定义 : 行为 记录 软件 (Track Ware) 是 指 未 经 用 户 许 可 ， 窃 取 并 分 析 用 户 隐私 数据 ， 
记录 用 户 计算 机 使 用 习惯 、 网 络 浏览 习惯 等 个 人 行为 的 软件 。 

危害 : 危及 用 户 隐私 ， 可 能 被 黑客 利用 来 进行 网 络 诈骗 。 

例如 ， 一 些 软件 会 在 后 台 记 录用 户 访问 过 的 网 站 并 加 以 分 析 ， 有 的 甚至 会 发 送 给 专门 
的 商业 公司 或 机 构 ， 此 类 机 构 会 据 此 窥 测 用 户 的 爱好 , 并 进行 相应 的 广告 推广 或 商业 活动 。 

S. 恶意 共享 软件 

定义 : 恶意 共享 软件 (Malicious Shareware) 是 指 某 些 共享 软件 为 了 获取 利益 ， 采 用 诱 
骗 手段 、 试 用 陷阱 等 方式 强迫 用 户 注册 ， 或 在 软件 体内 捆绑 各 类 恶意 插件 ， 未 经 允许 即将 
其 安装 到 用 户 计算 机 里 。 

危害 : 使 用 “试用 陷阱 ”强迫 用 户 进行 注册 ， 否 则 可 能 会 丢失 个 人 资料 等 数据 。 软 件 
集成 的 插件 可 能 会 造成 用 户 浏览 器 被 劫持 、 隐 私 被 窃取 等 。 

例如 ， 用 户 安装 某 款 媒体 播放 软件 后 ， 会 被 强迫 安装 与 播放 功能 毫 不 相干 的 软件 〈 搜 
索 插件 、 下 载 软件 ) 而 不 给 出 明确 提示 ， 并 且 用 户 卸 载 播放 器 软件 时 不 会 自动 印 载 这 些 附 
加 安装 的 软件 。 又 例如 某 加 密 软件 ， 试 用 期 过 后 所 有 被 加 密 的 资料 都 会 丢失 ， 只 有 交 费 购 
买 该 软件 才能 找 回 丢失 的 数据 。 

6. 其 他 

随 着 网 络 的 发 展 ,“ 流 氓 软件 ”的 分 类 也 越 来 越 细 ， 一 些 新 种 类 的 流氓 软件 在 不 断 出 
现 ， 分 类 标准 必然 会 随 之 调整 。 


5.3.3” 流 误 软 件 的 防治 


流氓 软件 实在 是 令 人 异 恶 ， 但 是 流氓 软件 都 能 很 好 地 隐藏 自己 ， 因 此 相对 而 言 ， 杀 毒 
软件 及 时 杀 除 流氓 软件 的 可 能 性 就 大 大 降低 了 ， 这 就 要 求 用 户 要 有 一 定 的 流氓 软件 的 防护 
能 力 ， 才 能 使 上 网 更 加 安全 。 

1. 要 有 安全 的 上 网 意识 

不 要 轻易 登录 不 了 解 的 网 站 ， 因 为 这 样 很 可 能 遇 到 网 页 脚本 病毒 的 袭击 ， 从 而 使 系统 
感染 上 流氓 软件 。 不 要 随便 下 载 不 熟悉 的 软件 。 安 装 软件 时 应 仔细 阅读 软件 附带 的 用 户 协 
议 及 使 用 说 明 ， 有 些 软件 在 安装 的 过 程 中 会 以 不 引起 用 户 注意 的 方式 提示 用 户 安装 流氓 软 
件 ， 这 时 如 果 用 户 不 认真 看 提示 信息 就 会 安装 上 流 谍 软 件 。 在 安装 操作 系统 后 ， 应 该 先 上 
网 给 系统 打 补 丁 ， 堵 住 一 些 已 知 漏洞 ， 这 样 能 够 避免 利用 已 知 漏洞 的 流氓 软件 驻 留 。 如 果 
用 户 使 用 下 浏览 器 上 网 ， 则 应 该 将 浏览 器 的 安全 级 别 调 到 中 高 级 别 ， 或 者 在 自 定义 里 将 
Active 和 控件 、 脚 本 程序 都 禁止 执行 ， 这 样 能 够 防止 一 些 隐藏 在 网 页 中 的 流氓 软件 入 侵 。 

2. 判断 流氓 软件 

判断 自己 是 否 已 经 中 了 流氓 软件 ， 要 根据 流氓 软件 的 中 招 症状 来 看 。 一 般 地 ， 浏 览 
首页 被 无 故 修改 、 总 是 弹出 广告 窗口 、CPU 的 资源 被 大 量 占用 、 系 统 变 得 很 慢 、 浏 览 器 经 
常 朋 溃 或 出 现 找 不 到 某 个 DLL 文件 的 提示 框 , 这 些 都 是 中 了 流氓 软件 最 常见 的 现象 。 如 果 
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发 现 计算 机 中 出 现 这 些 现象 ， 则 很 有 可 能 是 中 了 流氓 软件 ， 就 要 采取 相应 的 措施 。 而 如 果 
出 现 CPU 的 资源 被 大 量 占用 , 系统 变 得 很 慢 这 样 的 情况 , 则 很 有 可 能 是 中 了 多 种 流氓 软件 
的 原因 ， 更 应 该 尽快 进行 相应 处 理 。 

流氓 软件 无 论 多 么 复杂 ， 它 们 的 传播 流程 几乎 是 一 样 的 ， 都 是 会 通过 软件 捆绑 或 网 页 
下 载 先进 入 到 计算 机 的 一 个 临时 目录 里 ， 一 般 是 系统 的 根 目 录 或 者 系统 默认 的 临时 目录 ， 
然后 将 自己 激活 ， 这 时 流氓 软件 进入 内 存 中 正常 运行 。 为 了 下 一 次 能 够 自动 运行 ， 它 们 往 
往 会 修改 注册 表 的 自 启动 项 ， 从 而 达到 自动 启动 的 目的 。 然 后 流 谍 软 件 会 将 自己 复制 到 系 
统 目 录 隐 藏 起 来 ， 然 后 将 临时 的 安装 文件 删除 ， 最 后 监听 系统 端口 ， 进 行 各 种 各 样 的 “ 流 
谍 ” 行 为 。 

如 果 用 户 喜 欢 下 载 安装 一 些小 的 工具 软件 ， 或 者 去 一 些小 的 网 站 上 浏览 网 页 ， 也 极 有 
可 能 感染 上 流氓 软件 ， 这 时 也 应 该 关注 一 下 计算 机 ， 看 是 否 真正 中 招 ， 可 以 按照 流氓 软件 
的 这 个 传播 链 去 一 一 排查 。 

首先 利用 一 些 第 三 方 的 内 存 查 看 工具 来 看 看 内 存 中 是 否 有 一 些 可 疑 的 进程 或 线程 ， 这 
需要 用 户 对 系统 中 的 进程 或 一 些 常用 软件 的 进程 有 所 了 解 , 这 样 才 有 可 能 看 出 问题 。 其 次 ， 
用 户 在 查看 进程 的 过 程 中 应 该 看 看 这 些 进 程 的 路 径 ， 如 果 有 一 些 进程 的 路 径 不 是 正常 的 安 
装 目录 ， 而 是 系统 的 临时 目录 ， 那 有 可 能 是 流氓 软件 。 另 外 ， 用 户 还 要 看 看 注册 表 里 〈 选 
择 “ 开 始 ” 一 “运行 ”命令 ， 在 弹出 的 对 话 框 中 输入 regedit) 的 自 启动 (HKEY _ LOCAL 
MACHINE\SOFTWARE\ Microsoft\ Windows\CurrentVersion\Run ) 中 是 否 有 一 些 用 户 不 认识 
的 程序 键 值 ， 这 些 很 可 能 就 是 流氓 软件 建立 的 。 

3. 清理 流氓 软件 

确诊 自己 中 了 流氓 软件 ， 清 除 就 相对 比较 简单 了 。 对 于 已 知 的 流氓 软件 ， 建 议 用 户 用 
专门 的 清除 工具 进行 清除 ， 目 前 这 些 工 具 都 是 免费 的 ， 用 户 很 轻松 就 能 够 在 网 站 上 下 载 到 
它们 。 很 多 流 谍 软 件 在 进入 系统 之 前 就 对 系统 进行 了 修改 和 关联 ， 当 用 户 擅 自 删 除 流 谍 软 
件 文件 时 ， 系 统 无 法 恢复 到 最 初 的 那个 状态 ， 从 而 导致 流氓 软件 虽然 清除 了 ， 但 系统 也 总 
是 出 现 各 种 错误 。 而 专业 的 清除 工具 往往 已 经 考虑 到 这 一 点 , 能 够 帮助 用 户 完 全 恢复 系统 。 
如 果 在 一 些 特殊 场合 用 户 需要 手动 清除 流 谍 软 件 ， 则 按照 流 谍 软件 的 传播 链条 ， 按 照 先 删 
除 内 存 的 进程 ， 再 删除 注册 表 中 的 键 值 ， 最 后 再 删除 流氓 软件 ， 将 系统 配置 修改 为 默认 属 
性 这 样 一 个 过 程 进行 处 理 。 


5.4 计算 机 病毒 发 展 趋势 


近年 来 ， 我 国 计 算 机 病毒 感染 率 呈 现 了 连续 下 降 的 趋势 ， 我 国联 网 计算 机 用 户 的 病毒 
防范 意识 明显 增强 ， 并 且 随 着 防 病毒 产品 的 普及 ， 尤 其 是 个 人 安全 产品 的 免费 化 时 代 的 到 
来 ， 大 多 数 计算 机 都 安装 了 一 些 基本 的 安全 软件 。2012 年 ， 一 向 被 视 为 难以 入 侵 的 Mac 
操作 系统 经 历 了 大 规模 感染 事件 。 还 发 生 了 多 起 大 规模 的 信息 泄露 事件 ， 用 户 的 私密 信息 
受到 严重 的 威胁 和 侵害 ， 同 时 拥有 大 量 用 户 的 门户 网 站 、 社 交 网 络 、 金 融 系 统 、 大 型 企业 
的 系统 等 成 为 不 法 分 子 攻击 的 主要 目标 ， 通 过 攻击 可 从 中 抽取 大 量 有 价值 的 商业 机 密 和 个 
人 用 户 的 私密 信息 。Java 漏洞 成 为 黑客 的 新 宠 。 微 信 、 二 维 码 等 新 型 应 用 在 给 用 户 带 来 良 
好 体验 的 同时 ， 也 给 移动 终端 的 安全 带 来 了 新 的 问题 和 隐患 。2012 年 ， 安 卓 系 统 的 移动 终 


端 病毒 呈现 爆炸 式 增长 ,移动 终端 安全 形势 不 容 乐 观 。 云 服务 在 面临 大 量 市 场 需求 的 同时 ， 
随 之 而 来 的 是 难以 回避 的 安全 问题 ， 海 量 数 据 的 存储 必定 成 为 不 法 分 子 新 的 攻击 目标 。 网 
络 支付 的 交易 规模 大 幅度 增长 ， 支 付 安全 受到 普遍 关注 。 

1. 计算 机 病毒 传播 的 主要 途径 

受 经 济 利益 的 驱动 ， 网 上 银行 、 网 络 支 付 等 仍然 是 病毒 的 主攻 目标 ， 在 盗 取 钱财 的 同 
时 ， 不 法 分 子 还 会 窃取 用 户 的 私密 信息 。 微 博 也 成 为 新 的 关注 点 。 针 对 大 型 企业 、 重 点 行 
业 的 病毒 传播 和 攻击 增多 调查 显示 ， 通 过 网 络 下 载 或 浏览 传播 病毒 的 比例 占 75%， 操 作 系 
统 、 浏 览 器 和 应 用 软件 中 存在 的 大 量 未 修补 的 漏洞 是 联网 用 户 的 重大 安全 隐患 ， 也 是 不 法 
分 子 用 来 传播 病毒 、 挂 马 和 发 动 攻击 的 最 主要 途径 。 下 载 应 用 软件 中 含有 的 病毒 、 木 马 等 
恶意 程序 仍然 是 威胁 用 户 安全 的 主要 因素 ， 尤 其 是 各 类 游戏 网 站 和 低俗 网 站 更 是 病毒 、 木 
马 散布 的 温床 。 通 过 移动 存储 介质 和 电子 邮件 传播 也 是 其 主要 传播 方式 。 

2. 计算 机 病毒 造成 的 主要 危害 

日前 计算 机 病毒 主要 造成 密码 和 账号 被 瓷 、 受 到 远程 控制 、 系 统 ( 网 络 ) 无 法 使 用 、 
浏览 器 配置 被 修改 等 破坏 后 果 ， 其 中 超过 半数 的 用 户 浏览 器 配置 被 修改 ;系统 〈 网 络 无 法 
使 用 ); 有 接近 四 成 的 用 户 密码 、 账 号 被 盗 。 整 体形 势 不 容 乐观 ， 虽 然 大 多 数 用 户 安 装 使 用 
了 防 病毒 软件 和 防火 墙 ， 但 用 户 对 安全 软件 的 依赖 性 过 高 ， 认 为 有 了 安全 软件 就 可 以 高 枕 
无 忧 ， 但 安全 软件 也 有 其 局 限 性 。 如 何 保护 用 户 的 私密 信息 ， 应 对 和 解决 频频 爆发 的 大 规 
模 信 息 泄露 事件 ， 已 经 成 为 信息 安全 领域 的 焦点 问题 。 

3. 移动 终端 病毒 逐渐 增多 

调查 显示 ， 移 动 终端 的 病毒 感染 比例 每 年 都 在 30% 以 上 。 但 在 受 感染 用 户 中 ， 多 次 感 
染 的 比率 在 半数 以 上 ， 目 前 出 现 了 利用 手机 操作 系统 的 僵尸 程序 ， 利 用 微 信 、 微 博 的 钓鱼 
和 欺诈 迅 独 增长， 钓鱼 欺诈 仿冒 技术 不 断 推陈出新 ， 反 钓鱼 技术 的 自动 化 、 智 能 化 水 平 提 
高 。 移 动 终端 的 安全 问题 仍然 是 安全 领域 的 重点 和 难点 。 

移动 终端 病毒 感染 的 途径 中 , 排名 第 一 的 是 网 站 浏览 , 其 次 是 计算 机 连接 和 网 络 聊 天 ， 
存储 介质 和 电子 邮件 也 占有 较 高 比例 。 用 户 感染 移动 终端 病毒 后 造成 的 后 果 主 要 有 影响 手 
机 正常 运行 、 信 息 泄露 、 恶 意 扣 费 、 远 程 受 控 等 。 感 染 后 影响 手机 正常 运行 成 为 在 感染 移 
动 终端 病毒 后 造成 的 最 主要 危害 ， 在 感染 移动 终端 病毒 后 产生 了 恶意 扣 费 、 发 生 了 信息 汇 
露 等 也 占有 较 高 比例 。 

4. 隐藏 技术 越 来 越 强 

隐藏 是 计算 机 病毒 的 一 个 重要 技术 。 病 毒 得 以 有 效 和 广泛 传播 ， 被 发 现 的 时 间 长 短 
ee 
实现 隐藏 的 网 络 ， 如 使 用 编码 技术 (红色 代码 ); 心理 学 也 将 被 用 来 隐藏 ， 如 使 用 人 类 的 好 
奇 心 或 知名 品牌 的 信任 (如 假冒 知名 病毒 软件 应 用 程序 ); 主动 防御 技术 势必 将 成 为 病毒 的 
重要 隐蔽 手段 ， 甚 至 可 能 形成 专 杀 防 病毒 软件 和 反 病 毒 软件 的 病毒 。 

5. 5. 混合 攻击 手段 更 加 多 样 化 

所 谓 的 混合 攻击 ， 一 方面 是 指 同样 的 攻击 ， 都 含有 病毒 、 黑 客 攻击 ， 也 包括 隐蔽 通道 
攻击 、 拒 绝 服务 攻击 ， 并 且 可 能 包含 密码 攻击 、 中 间 人 攻击 等 多 种 攻击 路 线 ， 另 外 一 方面 
是 指 来 自 不 同 的 地 方 ， 或 从 系统 的 不 同 部 分 ， 如 服务 器 、 客 户 端 、 网 关 等 混合 式 攻击 更 多 
的 计算 机 来 传播 病毒 ， 造 成 更 大 的 伤害 和 更 快 的 攻击 。 混 合 攻击 的 主要 攻击 目标 为 微软 公 
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司 的 IIS 服务 器 、 正 浏览 器 等 市 场 占有 率 较 高 的 系统 和 软件 。 混 合 病毒 攻击 的 复杂 性 将 会 
越 来 越 高 ， 黑客 技术 和 计算 机 病毒 技术 日 益 紧密 结合 。 越 来 越 多 的 病毒 能 够 在 未 来 的 攻击 
中 采用 各 种 组 合 ， 从 而 提高 病毒 的 生存 能 力 和 传播 能 力 。 

6. 发 生 和 传播 的 速度 会 越 来 越 快 

病毒 利用 系统 漏洞 的 速度 和 传播 速度 会 越 来 越 快 。 目 前 新 的 计算 机 系统 漏洞 不 断 地 被 
发 现 。 有 些 漏洞 从 发 现 到 针对 漏洞 产生 的 病毒 爆发 时 间 比 较 短 ， 所 以 很 多 用 户 还 来 不 及 修 
补 系 统 。 随 着 互联 网 带 来 的 快捷 ， 病 毒 式 传播 迅速 也 在 迅速 发 展 ， 只 要 漏洞 是 已 知 的 ， 黑 
客 用 于 开发 新 的 病毒 来 造成 系统 裔 溃 的 时 间 就 会 更 短 。 一 些 软件 厂商 停止 对 其 旧版 本 的 软 
件 进行 升级 维护 , 也 会 造成 漏洞 不 能 及 时 修补 , 这 样 也 会 使 用 户 更 加 容易 受到 病毒 的 攻击 。 

7. 跨 平台 病毒 越 来 越 多 

自从 1995 年 开放 式 语 言 Java 诞生 起 ， 跨 平台 便 渐 成 热点 ， 它 实现 了 很 多 人 “一 次 编 
译 ， 跨 平台 运行 ”的 设计 理想 ，Java 语言 短 时 间 内 风靡 全 球 。 目 前 Java 和 ActiveX Web 技 
术 正 逐渐 被 广泛 应 用 于 因特网 ， 从 而 使 跨 平 台 病 毒 的 设计 更 容易 。 例 如 ， 国 外 研究 人 员 发 
现 了 一 种 只 在 Linux 和 Mac OS X 上 存在 的 木马 ， 当 计算 机 被 入 侵 之 后 ， 该 木马 会 在 计算 
机 上 安装 Wirenet-1 键盘 记录 软件 , 捕获 用 户 输入 的 密码 和 敏感 信息 , 包括 Opera、Firefox、 
Chrome 浏览 器 提交 的 信息 ,一 些 app 存储 的 信息 ， 以 及 E-mail、Web 组 件 和 聊天 应 用 程序 
的 密码 。 还 出 现 了 通过 互联 网 浏览 病毒 作者 所 设计 的 网 站 来 感染 在 Linux 或 Windows 系统 
的 病毒 ， 该 病毒 会 在 感染 用 户 的 计算 机 上 运行 Java 控件 和 Java 虚拟 机 。 跨 平台 病毒 的 出 
现 必 将 对 计算 机 系统 带 来 更 大 的 伤害 。 


5.5 ”病毒 检测 技术 


随 着 计算 机 病毒 技术 的 不 断 发 展 ， 检 测 和 查 杀 计 算 机 病毒 的 技术 也 在 不 断 地 更 新 并 趋 
于 复杂 化 和 智能 化 。 为 了 选取 有 效 的 病毒 检测 技术 ， 在 这 一 部 分 首先 将 对 传统 的 病毒 诊断 
技术 进行 分 析 和 对 比 ， 其 次 对 基于 网 络 的 病毒 检测 技术 进行 分 析 。 


S.S.1 传统 的 病毒 检测 技术 


1. 程序 和 数据 完整 性 检测 技术 

完整 性 病毒 检测 技术 是 一 种 相当 古老 的 病毒 检测 方法 。 它 的 基本 原理 是 对 每 个 程序 或 
者 代码 根据 某 种 算法 生成 校 验 码 (提取 签名 ), 一 旦 程序 发 生变 化 ， 所 产生 的 校 验 码 必然 与 
原来 生成 的 校 验 码 不 同 ， 这 时 可 以 初步 判断 该 程序 已 经 被 病毒 感染 。 这 种 技术 具有 很 多 纶 
点 ， 以 至 于 现在 几乎 不 被 采用 了 。 其 中 包括 病毒 检测 软件 需要 建立 一 个 统一 的 校 验 码 库 ， 
不 能 对 经 常 发 生变 化 的 数据 文件 进行 检测 和 保护 。 有 时 ， 程 序 被 改动 并 不 是 病毒 感染 造成 
的 ， 从 而 造成 检测 的 误 报 率 相当 高 。 这 种 检测 方法 不 能 明确 地 判定 病毒 的 具体 类 型 ， 而 且 
如 果 程 序 在 生成 校 验 码 前 已 经 被 病毒 感染 ， 则 逃脱 了 以 后 的 完整 性 检测 。 

2. 病毒 特征 码 检测 技术 

病毒 特征 码 检测 技术 是 目前 被 广泛 使 用 的 一 种 病毒 检测 技术 。 它 的 基本 原理 是 通过 对 
病毒 源 程序 的 分 析 ， 提 取出 能 够 唯一 代表 该 病毒 的 一 串 病毒 代码 ， 该 串 代 码 经 过 测试 是 其 
他 程序 所 没有 的 。 这 种 病毒 检测 的 方法 非常 高 效 ， 如 果 病 毒 特征 码 提取 质量 高 的 话 ， 病 毒 


的 检测 率 相当 高 ， 而 误 报 率 会 非常 小 。 这 种 病毒 检测 方法 能 够 唯一 的 确定 病毒 的 种 类 和 名 
字 ， 为 下 一 步 的 杀毒 提供 依据 。 这 种 检测 技术 的 弱点 是 它 仅仅 能 够 检测 已 知 病毒 ， 而 对 于 
未 知 病毒 往往 需要 经 过 人 工分 析 ， 提 取 特 征 码 后 才能 进行 。 随 着 病毒 技术 的 不 断 发 展 ， 特 
别 是 变形 病毒 的 出 现 ， 病 毒 每 次 传染 后 病毒 代码 本 身 都 会 加 密 而 各 次 代码 都 不 相同 。 这 时 
就 不 存在 一 个 单一 的 病毒 特征 码 了 ， 所 以 病毒 特征 码 检测 技术 对 于 变形 病毒 可 以 说 是 无 能 
为 力 。 

3. 启发 式 规则 〈 或 广 谱 特 征 码 ) 病毒 检测 技术 

启发 式 规则 病毒 检测 是 一 种 专门 针对 未 知 病毒 的 病毒 检测 技术 。 基 本 原理 是 通过 对 一 
系列 病毒 代码 的 分 析 ， 提 取 一 种 广 谱 特征 码 ， 即 代表 病毒 的 某 一 种 行为 特征 的 特殊 程序 代 
码 。 当 然 ， 仅 仅 是 一 段 特 征 码 还 不 能 确定 一 定 是 某 一 种 病毒 ， 通 过 多 种 广 谱 特 征 码 ， 也 就 
是 启发 式 规则 的 判断 ， 综 合 考虑 各 种 因素 ， 确 定 到 底 是 否 是 病毒 ， 是 哪 一 种 病毒 。 这 种 病 
毒 检测 方法 的 优点 就 是 针对 未 知 病毒 ， 而 缺点 在 于 它 的 诊断 的 正确 率 〈 包 括 检测 率 和 误 报 
率 ) 和 规则 的 选取 有 密切 的 关系 。 往 往 是 某 些 规则 对 某 种 病毒 很 有 效 ， 但 是 却 影响 其 他 类 
型 的 病毒 检测 。 规 则 选取 的 困难 和 相互 矛盾 决定 了 这 种 方法 只 能 是 一 种 辅助 的 检测 手段 。 

4. 基于 操作 系统 的 监视 和 检测 技术 

较 早 的 操作 系统 监视 和 检测 技术 是 从 中 断 向 量 监视 开始 的 ， 病 毒 诊断 软件 通过 监视 系 
统 的 中 断 向 量 表 来 判定 是 否 有 病毒 入 侵 。 此 外 ， 内 存 检测 也 是 操作 系统 检测 技术 的 手段 之 
一 。 随 着 技术 的 不 断 发 展 ， 现 在 的 一 些 杀毒 产品 采用 的 是 嵌入 操作 系统 内 核 的 检测 ， 它 不 
仅 检测 中 断 向 量 表 等 一 些 关 键 数据 结构 , 还 要 监视 系统 的 一 些 关键 调用 , 系统 的 运行 状况 ， 
文件 系统 的 访问 状况 等 多 个 指标 ， 从 而 判定 系统 是 否 工 作 不 正常 ， 程 序 是 否 被 病毒 感染 。 
这 种 监视 和 检测 技术 的 实现 难度 很 大 ， 需 要 操作 系统 厂商 的 配合 。 而 且 ， 这 种 方法 同样 无 
法 确定 究竟 是 何 种 病毒 ， 误 报 率 很 高 。 

S. 传统 虚拟 机 病毒 检测 技术 

虚拟 机 病毒 检测 技术 是 一 种 最 新 的 病毒 检测 技术 。 它 的 基本 原理 是 为 可 能 的 病毒 程序 
构建 一 个 虚拟 的 运行 环境 ， 诱 使 病毒 程序 进行 感染 和 破坏 活动 。 虚 拟 机 病毒 检测 技术 的 最 
大 优点 是 能 够 很 高 效率 地 检测 出 病毒 ， 特 别 是 特征 码 技术 很 难 解决 的 变形 病毒 技术 。 早 期 
的 虚拟 机 并 不 是 真正 意义 上 的 虚拟 机 , 它们 仅仅 是 利用 Windows 操作 系统 的 一 些 特殊 功能 
来 构造 一 个 伪 虚 拟 机 ， 但 是 聪明 的 病毒 程序 往往 可 以 破坏 虚拟 机 本 身 。 而 且 虚 拟 机 的 运行 
需要 相当 的 系统 资源 ， 可 能 会 影响 正常 程序 的 运行 。 

通过 对 以 上 技术 的 比较 可 以 看 出 ， 无 论 哪 一 种 技术 都 不 能 说 是 十 全 十 美的 。 就 目前 计 
算 机 病毒 的 诊断 技术 而 言 ， 无 论 是 哪 一 种 诊断 软件 都 不 可 能 仅仅 采用 某 一 种 诊断 方法 。 最 
新 的 病毒 诊断 技术 往往 把 多 种 技术 融合 在 一 起 ， 发 挥 各 种 技术 的 长 处 ， 达 到 最 好 的 效果 。 


5.5.2 基于 网 络 的 病毒 检测 技术 


从 本 质 上 讲 ， 基 于 网 络 的 病毒 检测 技术 并 没有 在 传统 的 病毒 检测 技术 上 做 出 本 质 性 的 
更 新 ， 新 的 技术 往往 是 针对 网 络 病毒 的 特点 ， 对 传统 的 病毒 监测 技术 进行 优化 并 应 用 在 网 
络 环境 中 。 

1. 实时 网 络 流量 检测 

从 原理 上 ， 实 时 网 络 流量 检测 继承 了 自 病毒 特征 码 检测 技术 ， 但 是 网 络 病毒 检测 有 其 
独到 之 处 。 网 络 病毒 的 实时 检测 将 实时 地 截取 网 络 文件 传输 的 信息 流 ， 从 传播 途径 上 对 病 
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毒 进行 及 时 的 检测 ， 并 能 够 实时 做 出 反馈 行为 。 网 络 病毒 实时 检测 的 目标 是 已 知 的 病毒 。 
其 优点 在 于 它 能 实时 的 监测 网 络 流量 ， 发 现 绝 大 多 数 已 知 病毒 。 缺 点 在 于 随 着 网 络 流量 呈 
几何 级 数 增 长 ， 对 巨大 的 流量 进行 实时 地 监测 往往 需要 占用 大 量 的 系统 资源 ， 同 时 这 种 方 
法 对 未 知 病毒 完全 无 能 为 力 。 在 系统 中 也 使 用 了 实时 的 网 络 流量 监测 ， 并 针对 它 存在 的 缺 
陷 进 行 了 改进 和 完善 。 

2. 异常 流量 分 析 

网 络 流量 异常 的 种 类 较 多 ， 从 不 同 的 角度 分 析 有 不 同 的 分 类 结果 。 从 产生 异常 流量 的 
原因 分 析 可 以 将 其 分 成 三 个 广义 的 异常 类 : 网 络 操作 异常 、 闪 现 拥 挤 异常 和 网 络 滥用 异常 。 
网 络 操作 异常 是 指 网 络 设备 的 停机 、 配 置 改变 等 导致 的 网 络 行为 的 显著 变化 ， 以 及 流量 达 
到 环境 极限 引起 的 台阶 行为 。 闪 现 拥挤 异常 出 现 的 原因 通常 是 软件 版 本 的 问题 ， 或 者 是 国 
家 公开 带 来 的 Web 站 点 的 外 部 利益 问题 。 特 定 类 型 流量 的 快速 增长 (如 FTP 流 )， 或 者 知 
名 IP 地 址 的 流量 随 着 时 间 渐 渐 降低 都 是 办 现 拥挤 的 显著 表现 。 网 络 滥用 异常 主要 是 由 以 
Dos 洪 泛 攻击 和 端口 扫描 为 代表 的 各 种 网 络 攻击 导致 的 ， 这 种 网 络 异常 也 是 网 络 病毒 检测 
系统 所 感 兴趣 的 。 

基于 网 络 滥用 异常 的 流量 分 析 可 以 看 作 是 对 启发 式 规则 病毒 检测 技术 的 一 种 衍生 ， 这 
种 技术 的 优势 是 能 发 现 未 知 的 网 络 病毒 ， 同 时 可 以 通过 流量 信息 直接 定位 可 能 感染 了 病毒 
的 计算 机 ， 对 于 一 些 蠕虫 的 变种 及 新 的 网 络 病毒 有 较 好 的 发 现 效果 。 

3， 寅 摊 系统 

蜜 钠 系 统 可 以 看 作 是 传统 的 虚拟 机 病毒 检测 技术 在 网 络 环境 中 的 一 种 新 的 应 用 。 蜜 饶 
定义 为 一 种 安全 资源 ， 它 并 没有 任何 业务 上 的 用 途 ， 它 的 价值 就 是 吸引 攻击 者 对 它 进 行 非 
法 使 用 。 蜜 缸 技术 本 质 上 是 一 种 对 攻击 者 进行 欺骗 的 技术 , 通过 布置 一 些 作为 诱饵 的 主机 、 
网 络 服务 及 信息 诱 使 攻击 者 对 其 进行 攻击 ， 减 少 对 实际 系统 所 造成 的 安全 威胁 。 更 重要 的 
是 , 蜜 钠 技 术 可 以 对 攻击 行为 进行 监控 和 分 析 ， 了解 攻 击 者 所 使 用 的 攻击 工具 和 攻击 方法 ， 
推测 攻击 者 的 意图 和 动机 ， 在 此 基础 上 尽 可 能 地 追踪 攻击 者 的 来 源 ， 对 其 攻击 行为 进行 审 
计 和 取证 ， 从 而 能 够 让 防御 者 清晰 地 了 解 他 们 所 面 对 的 安全 威胁 ， 并 通过 法 律 手段 去 追究 
攻击 者 的 责任 ， 或 者 通过 技术 和 管理 手段 来 增强 对 实际 系统 的 安全 防护 能 力 。 蜜 负 技 术 最 
大 的 应 用 目标 是 提供 一 个 高 度 可 控 的 环境 对 互联 网 上 的 各 种 安全 威胁 (包括 黑客 攻击 、 恶 
意 软 件 传播 、 垃 圾 邮件 、 僵 尸 网 络 和 网 络 钓鱼 等 ) 进行 深入 的 了 解 与 分 析 ， 从 而 为 安全 防 
御 提 供 知 识 和 经 验 支 持 。 


课 后 习 题 


一 、 选 择 题 

1. 不 属于 计算 机 病毒 防治 策略 的 是 NN 
A. 确认 手头 常备 一 张 真正 “干净 ”的 引导 盘 
B. 及 时 、 可 靠 升 级 反 病 毒 产品 
C. 新 购置 的 计算 机 软件 也 要 进行 病毒 检测 
D. 整理 磁盘 

2. 计算 机 病毒 的 特征 之 一 是 Ys 


A. 非 授权 不 可 执行 性 B. 非 授权 可 执行 性 


C. 授权 不 可 执行 性 D. 授权 可 执行 性 
3. 计算 机 病毒 最 重要 的 特征 是 ( )。 
A. 隐蔽 性 B. 传染 性 
C. 潜伏 性 D. 破坏 性 
4. 计算 机 病毒 (  )。 
A. 不 影响 计算 机 的 运算 速度 B. 可 能 会 造成 计算 机 器 件 的 永久 失效 
C. 不 影响 计算 机 的 运算 结果 D. 不 影响 程序 执行 ， 破 坏 数据 与 程序 


5. CIH 病毒 破坏 计算 机 的 BIOS， 使 计算 机 无 法 启动 。 它 是 由 时 间 条 件 来 触发 的 ， 其 
发 作 的 时 间 是 每 月 的 26 日 ， 这 主要 说 明 病毒 具有 ( 四 


A. 可 传染 性 B. 可 触发 性 
C. 破坏 性 D. 免疫 性 
6. 计算 机 病毒 最 本 质 的 特性 是 ( 和 
A. 寄生 性 B. 潜伏 性 
C. 破坏 性 D. 攻击 性 
7. 针对 操作 系统 安全 漏洞 的 蠕虫 病毒 根治 的 技术 措施 是 和 
A. 防火 墙 隔离 


B. 安装 安全 补丁 程序 
C. 专用 病毒 查 杀 工 具 
D. 部 署 网 络 入 侵 检测 系统 
8. 下 列 不 属于 网 络 蠕虫 病毒 的 是 轴 
A. 冲击 波 B. SQL SLAMMER 
Cc. CIH D. 振荡 波 
9. 传统 的 文件 型 病毒 以 计算 机 操作 系统 作为 攻击 对 象 ， 而 现在 越 来 越 多 的 网 络 蠕虫 
病毒 将 攻击 范围 扩大 到 了 ( ) 等 重要 网 络 资源 。 


A. 网 络 带 宽 B. 数据 包 

C. 防火 墙 D. Linux 
10. ( ) 不 是 计算 机 病毒 所 具有 的 特点 。 

A. 传染 性 B. 破坏 性 

C. 潜伏 性 D. 可 预见 性 
11. 下 列 四 项 中 不 属于 计算 机 病毒 特征 的 是 % 

A. 潜伏 性 B. 传染 性 
C. 免疫 性 D. 破坏 性 
12. 在 目前 的 信息 网 络 中 ，( ) 病毒 是 最 主要 的 病毒 类 型 。 

引导 型 B. 文件 型 
C. 网 络 蠕虫 D. 木马 型 


13. 编制 或 者 在 计算 机 程序 中 插入 的 破坏 计算 机 功能 或 者 毁坏 数据 ， 影 响 计算 机 使 
用 ， 并 能 自我 复制 的 一 组 计算 机 指令 或 者 程序 代码 是 (  )。 
A. 计算 机 病毒 B. 计算 机 系统 
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C. 计算 机 游戏 D. 计算 机 程序 
14. 要 实现 有 效 的 计算 机 和 网 络 病毒 防治 ，( ) 应 承担 责任 。 
A. 高 级 管理 层 B. 部 门 经 理 
C. 系统 管理 员 D. 所 有 计算 机 用 户 
is; € ) 不 属于 在 局 域 网 中 计算 机 病毒 的 防范 策略 。 
A. 仅 保 护 工作 站 B. 完全 保护 工作 站 和 服务 器 
C. 保护 打印 机 D. 仅 保护 服务 器 
. 现代 病毒 木马 融合 了 ) 新 技术 。 
A. 进程 注入 B. 注册 表 隐 藏 
C. 漏洞 扫描 D. 都 是 
。 当 收 到 认识 的 人 发 来 的 电子 邮件 并 发 现 其 中 有 附件 ， 应 该 〈 站 
A. 打开 附件 ， 然 后 将 它 保 存 到 硬盘 
B. 打开 附件 ， 但 是 如 果 它 有 病毒 ， 立 即 关闭 它 
C. 用 防 病毒 软件 扫描 以 后 再 打开 附件 
D. 直接 删除 该 邮件 
. 不 能 防止 计算 机 感染 病毒 的 措施 是 法 
A. 定时 备份 重要 文件 
B. 经 常 更 新 操作 系统 
C. 除非 确切 知道 附件 内 容 ， 和 否则 不 要 打开 电子 邮件 附件 
D. 重要 部 门 的 计算 机 尽量 专机 专用 ， 与 外 界 隔绝 
二 、 填 空 题 
1. 网 络 病毒 主要 进行 游戏 等 
使 用 。 
2. 特洛伊 木马 简称 木马 , 它 是 一 种 基于 
特点 。 


fe 
CN 


一 
~ 


hs 
Oo 


的 盗 取 工作 ， 远 程 操控 ， 或 把 你 的 计算 机 当 


作 


的 黑客 工具 , 具有 和 的 


3. 木马 通常 有 两 个 可 执行 程序 : 一 个 是 ” ， 另 一 个 是 

4. 蠕虫 程序 主要 利用 进行 传播 。 

5. 蠕虫 病毒 采取 的 传播 方式 一 般 为 及 

6. 可 以 阻挡 90% 的 黑客 、 蠕 虫 病毒 及 消除 系统 漏洞 引起 的 安全 性 问题 。 

7. 网 络 流量 异常 的 种 类 较 多 ， 从 产生 异常 流量 的 原因 分 析 可 以 将 其 分 成 三 个 广义 的 
异常 类 : y 和 网 络 滥用 异常 。 

8. 受 经 济 利益 的 驱动 ， 等 仍然 是 病毒 的 主攻 目标 。 

9. 通过 和 是 病毒 的 主要 传播 方式 。 

10. 移动 终端 病毒 感染 的 途径 中 ， 排 名 第 一 的 是 ， 其 次 是 计算 机 连接 
和 8 

11. 流 谍 软 件 定 义 为 “在 或 未 明确 提示 用 户 或 未 经 用 户 许可 的 情况 下 ， 
在 用 户 计算 机 或 其 他 终端 上 强行 安装 运行 ， 侵 犯 用 户 合法 权益 的 软件 ， 但 已 被 我 国法 律 法 
规 规定 的 计算 机 病毒 除外 ”。 

12. 网 络 蠕 虫 病毒 越 来 越 多 地 借助 网 络 作 为 传播 途径 ， 主 要 包括 互联 网 浏览 、 文 件 下 


一 


iD 天 二 一 二 二 一 一 一 
CDDoo~” 有 un 上 wm 


、_  、 局 域 网 文件 共享 等 。 


、 简 答题 

.什么 是 计算 机 病毒 ? 

. 计算 机 病毒 的 特点 有 哪些 ? 

. 计算 机 病毒 的 破坏 行为 有 哪些 ? 
. 计算 机 病毒 的 主要 危害 有 哪些 ? 
. 什么 是 木马 ? 

.网 页 挂 马 常见 方式 主要 有 哪儿 种 ? 
. 木马 的 种 类 有 哪些 ? 

.防范 木马 攻击 的 主要 措施 有 哪些 ? 
.木马 病毒 的 检测 步骤 有 哪些 ? 
.木马 病毒 的 查 杀 步骤 有 哪些 ? 
.什么 是 蠕虫 ? 
.蠕虫 病毒 的 特征 有 哪些 ? 
.蠕虫 病毒 的 防治 措施 有 哪些 ? 
.蠕虫 技术 发 展 的 趋势 有 哪些 ? 
.网 络 病毒 的 发 展 趋势 有 哪些 ? 

. 计算 机 防毒 杀毒 的 常见 误区 有 哪些 ? 


流氓 软件 有 哪些 特点 ? 


.流氓 软件 分 为 哪些 类 型 ? 
. 计算 机 病毒 的 发 展 趋势 有 哪儿 点 ? 
.病毒 检测 技术 主要 有 哪些 种 类 ? 
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第 6 章 防火 墙 技术 


6.1 防火 墙 概述 


所 谓 防火 墙 指 的 是 一 个 由 软件 和 硬件 设备 组 合 而 成 、 在 内 部 网 和 外 部 网 之 间 、 专 用 网 
与 公共 网 之 间 的 界面 上 构造 的 保护 屏障 。 防 火 墙 是 一 种 获取 安全 性 方法 的 形象 说 法 ， 是 一 
种 计算 机 硬件 和 软件 的 结合 ， 使 Internet 与 Intranet 之 间 建 立 起 一 个 安全 网 关 ， 从 而 保护 内 
部 网 免 受 非法 用 户 的 侵入 。 防 火 墙 主要 由 服务 访问 规则 、 验 证 工具 、 包 过 滤 和 应 用 网 关 4 
个 部 分 组 成 。 防 火 墙 结构 示意 图 如 图 6.1 所 示 。 计 算 机 流入 流出 的 所 有 网 络 通信 均 要 经 过 
此 防火 墙 。 


图 6.1 防火 墙 示意 图 


6.1.1 防火墙 的 功能 


防火 墙 在 网 络 中 像 一 墙 真正 的 墙 。 从 防火 墙 的 过 滤 机 制 来 形象 化 地 说 ， 防 火 墙 就 像 一 
个 二 极 管 。 而 二 极 管 具有 单 向 导电 性 ， 这 样 也 就 形象 地 说 明了 防火 墙 具 有 单 向导 通 性 。 这 
看 起 来 与 现在 防火 墙 过 滤 机 制 有 些 矛 盾 ， 不 过 它 却 完全 体现 了 防火 墙 初期 的 设计 思想 ， 同 
时 也 在 相当 大 程度 上 体现 了 当前 防火 墙 的 过 滤 机 制 。 因 为 防火 墙 最 初 的 设计 思想 是 对 内 部 
网 络 总 是 信任 的 ， 而 对 外 部 网 络 却 总 是 不 信任 的 ， 所 以 最 初 的 防火 墙 只 对 外 部 进来 的 通信 
进行 过 滤 ， 而 对 内 部 网 络 用 户 发 出 的 通信 不 作 限 制 。 当 然 ， 目 前 的 防火 墙 在 过 滤 机 制 上 有 
所 改变 ， 不 仅 对 外 部 网 络 发 出 的 通信 连接 要 进行 过 滤 ， 对 内 部 网 络 用 户 发 出 的 部 分 连接 请 
求 和 数据 包 同 样 需要 过 滤 。 但 防火 墙 仍 只 允许 符合 安全 策略 的 通信 通过 ， 也 可 以 说 具有 单 
向 导 通 性 。 

防火 墙 的 原意 是 指 古 代 构 筑 和 使 用 木 制 结构 房屋 的 时 候 ， 为 防止 火灾 的 发 生 和 莹 延 ， 
人 们 将 坚固 的 石 块 堆砌 在 房屋 周围 作为 屏障 , 这 种 防护 构筑 物 就 被 称 为 “防火 墙 ”。 其 实 与 
防火 墙 一 起 起 作用 的 就 是 “ 门 ”。 如 果 没 有 门 , 各 房间 的 人 如 何 沟通 呢 ? 这 些 房间 的 人 又 如 
何 进 去 呢 ? 当 火 灾 发 生 时 ， 这 些 人 又 如 何 逃 离 现 场 呢 ? 这 个 门 就 相当 于 这 里 所 讲 的 防火 墙 


的 “安全 策略 ” 所 以 在 此 处 所 说 的 防火 墙 实际 并 不 是 一 堵 实 心 墙 , 而 是 带 有 一 些小 孔 的 墙 。 
这 些小 孔 就 是 用 来 留 给 那些 允许 进行 的 通信 ， 在 这 些小 孔 中 安装 了 过 滤 机 制 ， 也 就 是 上 面 
所 介绍 的 单 向 导 通 性 。 

防火 墙 的 功能 可 以 归纳 为 以 下 几 个 方面 : 

1. 防火 墙 是 网 络 安全 的 屏障 

一 个 防火 墙 〈 作 为 阻塞 点 、 控 制 点 ) 能 极 大 地 提高 一 个 内 部 网 络 的 安全 性 ， 并 通过 过 
滤 不 安全 的 服务 而 降低 风险 。 由 于 只 有 经 过 精心 选择 的 应 用 协议 才能 通过 防火 墙 ， 因 此 网 
络 环境 变 的 更 安全 。 如 防火 墙 可 以 禁止 诸如 众所周知 的 不 安全 的 NFS 协议 进出 受 保护 网 
络 ， 这 样 外 部 的 攻击 者 就 不 可 能 利用 这 些 脆弱 的 协议 来 攻击 内 部 网 络 。 防 火 墙 同 时 可 以 保 
护 网 络 免 受 基于 路 由 的 攻击 ， 如 IP 选项 中 的 源 路 由 攻击 和 ICMP 重 定向 中 的 重 定向 路 径 。 
防火 墙 应 该 可 以 拒绝 所 有 以 上 类 型 攻击 的 报 文 并 通知 防火 墙 管理 员 。 

2. 防火 墙 可 以 强化 网 络 安全 策略 

通过 以 防火 墙 为 中 心 的 安全 方案 配置 ， 能 将 所 有 安全 软件 (如 口令 、 加 密 、 身 份 认证 、 
审计 等 ) 配置 在 防火 墙 上 。 与 将 网 络 安全 问题 分 散 到 各 个 主机 上 相 比 ， 防 火 墙 的 集中 安全 
管理 更 经 济 。 例 如 在 网 络 访问 时 ， 动 态 口令 系统 和 其 他 的 身份 认证 系统 完全 可 以 不 必 分 散 
在 各 个 主机 上 ， 而 是 集中 在 防火 墙 身上 。 

3. 对 网 络 存 取 和 访问 进行 监控 审计 

如 果 所 有 的 访问 都 经 过 防火 墙 ， 那 么 防火 墙 就 能 记录 下 这 些 访问 并 做 出 日 志 记录 ， 同 
时 也 能 提供 网 络 使 用 情况 的 统计 数据 。 当 发 生 可 疑 动作 时 ， 防 火 墙 能 进行 适当 的 报警 ， 并 
提供 网 络 是 和 否 受 到 监测 和 攻击 的 详细 信息 。 另 外 ， 收 集 一 个 网 络 的 使 用 和 误 用 情况 也 是 非 
常 重要 的 。 首 先 的 理由 是 可 以 清楚 防火 墙 是 否 能 够 抵挡 攻击 者 的 探测 和 攻击 ， 并 且 清 楚 防 
火 墙 的 控制 是 否 充足 。 而 网 络 使 用 情况 的 统计 对 网 络 需 求 分 析 和 威胁 分 析 等 而 言 也 是 非常 
重要 的 。 

4. 防止 内 部 信息 的 外 泄 

通过 利用 防火 墙 对 内 部 网 络 的 划分 ， 可 实现 内 部 网 重点 网 段 的 隔离 ， 从 而 限制 了 局 部 
重点 或 敏感 网 络 安 全 问题 对 全 局 网 络 造成 的 影响 ,。 再 者 , 隐私 是 内 部 网 络 非常 关心 的 问题 ， 
一 个 内 部 网 络 中 不 引 人 注 意 的 细节 可 能 包含 了 有 关 安 全 的 线索 而 引起 外 部 攻击 者 的 兴趣 ， 
甚至 因此 而 暴露 了 内 部 网 络 的 某 些 安全 漏洞 。 使 用 防火 墙 就 可 以 隐蔽 那些 透漏 内 部 细节 ， 
如 Finger、DNS 等 服务 。Finger 显示 了 主机 的 所 有 用 户 的 注册 名 、 真 名 、 最 后 登录 时 间 和 
使 用 shell 类 型 等 ， 但 是 Finger 显示 的 信息 非常 容易 被 攻击 者 所 获悉 。 攻 击 者 可 以 知道 一 
个 系统 使 用 的 频繁 程度 ， 这 个 系统 是 否 有 用 户 正 在 连 线 上 网 ， 这 个 系统 是 否 在 被 攻击 时 引 
起 注意 等 。 防 火 墙 可 以 同样 阻塞 有 关内 部 网 络 中 的 DNS 信息 ， 这 样 一 台 主机 的 域名 和 卫 
地 址 就 不 会 被 外 界 所 了 解 。 

除了 安全 作用 外 ， 防 火 墙 还 支持 具有 VPN (虚拟 专用 网 )、NAT (网 络 地 址 转换 ) 等 
功能 。 


6.1.2 防火墙 的 基本 特性 
防火 墙 可 以 使 企业 内 部 局 域 网 网 络 与 Intemet 之 间或 者 与 其 他 外 部 网 络 互相 隔离 、 限 
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制 网 络 互 访 用 来 保护 内 部 网 络 。 典 型 的 防火 墙 具 有 以 下 几 个 方面 的 基本 特性 : 

1. 内 部 网 络 和 外 部 网 络 之 间 的 所 有 网 络 数据 流 都 必须 经 过 防火 墙 

这 是 防火 墙 所 处 网 络 位 置 特性 ， 同 时 也 是 一 个 前 提 。 因 为 只 有 当 防 火 墙 是 内 、 外 部 网 
络 之 间 通 信 的 唯一 通道 ， 才 可 以 全 面 、 有 效 地 保护 企业 内 部 网 络 不 受 侵害 。 

根据 美国 国家 安全 局 制定 的 《信息 保障 技术 框架 》， 防 火 墙 适 用 于 用 户 网 络 系统 的 边 
界 ， 属 于 用 户 网 络 边界 的 安全 保护 设备 。 所 谓 网 络 边界 即 是 采用 不 同安 全 策略 的 两 个 网 络 
连接 处 ， 如 用 户 网 络 和 互联 网 之 间 连 接 、 和 其 他 业务 往来 单位 的 网 络 连接 、 用 户 内 部 网 络 
不 同 部 门 之 间 的 连接 等 。 防 火 墙 的 目的 就 是 在 网 络 连 接 之 间 建 立 一 个 安全 控制 点 ， 通 过 多 
许 、 拒 绝 或 重新 定向 经 过 防火 墙 的 数据 流 ， 实 现 对 进 、 出 内 部 网 络 的 服务 和 访问 的 审计 和 
控制 。 

典型 的 防火 墙 体系 结构 如 图 6.2 所 示 。 从 图 中 可 以 看 出 ， 防 火 墙 的 一 端 连接 企 事业 单 
位 内 部 的 局 域 网 ， 而 另 一 端 则 连接 着 互联 网 。 所 有 的 内 、 外 部 网 络 之 间 的 通信 都 要 经 过 防 
火 墙 ， 而 内 部 网 络 之 问 也 可 通过 安全 防火 墙 来 实现 数据 流 的 控制 。 


图 6.2 防火 墙 体系 结构 


2. 只 有 符合 安全 策略 的 数据 流 才能 通过 防火 墙 
防火 墙 最 基本 的 功能 是 确保 网 络 流量 的 合法 性 ， 并 在 此 前 提 下 将 网 络 的 流量 快速 的 从 
一 条 链 路 转发 到 另外 的 链 路 上 去 。 从 最 早 的 防火 墙 模型 开始 谈 起 , 原始 的 防火 墙 是 一 台 “ 双 
穴 主机 ” 即 具 备 两 个 网 络 接口 ， 同 时 拥有 两 个 网 络 层 地 址 。 防 火 墙 将 网 络 上 的 流量 通过 相 
应 的 网 络 接口 接收 上 来 ， 按 照 OSI 协议 栈 的 7 层 结构 顺序 上 传 ， 在 适当 的 协议 层 进行 访问 
规则 和 安全 审查 ， 然 后 将 符合 通过 条 件 的 报 文 从 相应 的 网 络 接口 送出 ， 而 对 于 那些 不 符合 
通过 条 件 的 报 文 则 予以 阻 断 。 因 此 ， 从 这 个 角度 上 来 说 ， 防 火 墙 是 一 个 类 似 于 桥接 或 路 由 
器 的 、 多 端口 的 (网 络 接口 大 于 等 于 2) 转发 设备 ， 它 跨 接 于 多 个 分 离 的 物理 网 段 之 间 ， 
在 报 文 转发 过 程 中 完成 对 报 文 的 审查 工作 。 
3. 防火 墙 自身 应 具有 非常 强 的 抗 攻 击 免 疫 力 
这 是 防火 墙 之 所 以 能 担当 企业 内 部 网 络 安全 防护 重任 的 先决 条 件 。 防 火 墙 处 于 网 络 边 
缘 ， 它 就 像 一 个 边界 卫士 一 样 ， 每 时 每 刻 都 要 面 对 黑 客 的 入 侵 ， 这 样 就 要 求 防火 墙 自身 要 
具有 非常 强 的 抗击 入 侵 本 领 。 它 之 所 以 具有 这 么 强 的 本 领 ， 防 火 墙 操作 系统 本 身 是 关键 ， 
只 有 自身 具有 完整 信任 关系 的 操作 系统 才 可 以 谈论 系统 的 安全 性 。 其 次 就 是 防火 墙 自身 具 


有 非常 低 的 服务 功能 ， 除 了 专门 的 防火 墙 嵌 入 系统 外 ， 再 没有 其 他 应 用 程序 在 防火 墙 上 运 
行 。 当 然 ， 这 些 安全 性 也 只 能 说 是 相对 的 。 

目前 国内 的 防火 墙 几乎 被 国外 的 品牌 占据 了 一 半 的 市 场 ， 国 外 品牌 的 优势 主要 是 在 技 
术 和 知名 度 上 比 国 内 产品 高 ; 而 国内 防火 墙 厂 商 对 国内 用 户 了 解 更 加 透彻 ， 价 格 上 也 更 具 
有 优势 。 防 火 墙 产品 中 ， 国 外 主流 厂商 为 Cisco、CheckPoint、NetScreen 等 ， 国 内 主流 厂 
商 为 东软 、 天 融 信 、 联 想 、 方 正 等 ， 它 们 都 提供 不 同 级 别 的 防火 墙 产品 。 

4. 应 用 层 防 火 墙 具备 更 细致 的 防护 能 力 

自从 Gartner 提出 下 一 代 防 火 墙 概 念 以 来 ， 信 息 安全 行业 越 来 越 认 识 到 应 用 层 攻击 成 
为 当下 取代 传统 攻击 ， 最 大 程度 危害 用 户 的 信息 安全 ， 而 传统 防火 墙 由 于 不 具备 区 分 端口 
和 应 用 的 能 力 ， 以 至 于 只 能 防御 传统 的 攻击 ， 基 于 应 用 层 的 攻击 则 毫 无 办 法 。 

从 2011 年 开始 ,国内 厂家 通过 多 年 的 技术 积累 ， 开始 推 出 下 一 代 防 火 墙 。 在 国内 从 第 
一 家 推出 真正 意义 的 下 一 代 防 火 墙 的 网 康 科技 开始 ， 至 今 包括 东 软 、 天 融 信 等 在 内 的 传统 
防火 墙 厂 商 也 开始 相互 效仿 ， 陆 续 推 出 了 下 一 代 防 火 墙 。 下 一 代 防 火 墙 具 备 应 用 层 分 析 的 
能 力 ， 能 够 基于 不 同 的 应 用 特征 ， 实 现 应 用 层 的 攻击 过 滤 ， 在 具备 传统 防火 墙 、IPS、 防 毒 
等 功能 的 同时 ， 还 能 够 对 用 户 和 内 容 进行 识别 管理 ， 兼 具 了 应 用 层 的 高 性 能 和 智能 联动 两 
大 特性 ， 能 够 更 好 地 针对 应 用 层 攻击 进行 防护 。 

S. 数据 库 防火 墙 针 对 数据 库 恶 意 攻击 的 阻 断 能 力 

(1) 虚拟 补丁 技术 : 针对 CVE 公布 的 数据 库 漏 洞 ， 提 供 漏洞 特征 检测 技术 。 

(2) 高 危 访问 控制 技术 : 提供 对 数据 库 用 户 的 登录 、 操 作 行为 ， 提 供 根据 地 点 、 时 间 、 
用 户 、 操 作 类 型 、 对 象 等 特征 定义 高 危 访 问 行为 。 

(3) SQL 注入 禁止 技术 : 提供 SQL 注入 特征 库 。 

(4) 返回 行 超标 禁止 技术 : 提供 对 敏感 表 的 返回 行 数控 制 。 

(5) SQL 黑 名 单 技术 : 提供 对 非法 SQL 的 语法 抽象 描述 。 


6.1.3 防火墙 的 主要 缺点 


防火 墙 可 以 提高 网 络 的 安全 性 ， 具 有 很 多 优点 ， 但 它 也 存在 缺点 ， 主 要 表现 在 : 

1 防火墙 不 能 防范 恶意 的 知情 者 

防火 墙 可 以 禁止 通过 网 络 传输 机 密 信息 ， 但 用 户 可 以 不 通过 网 络 ， 如 将 数据 复制 到 磁 
盘 或 磁带 上 ， 然 后 放 在 公文 包 中 带 出 去 。 如 果 入 侵 者 是 在 防火 墙 内 部 ， 那 么 它 也 是 无 能 为 
力 的 。 内 部 用 户 可 以 不 通过 防火 墙 而 偷窃 数据 、 破 坏 硬 件 和 软件 等 。 对 于 内 部 的 威胁 只 能 
通过 加 强 管理 来 防范 ， 如 主机 安全 防范 和 用 户 教育 等 。 

2. 防火墙 不 能 防范 不 通过 它 的 连接 

防火 墙 能 够 有 效 地 防止 通过 它 的 信息 传输 , 但 它 不 能 防止 不 通过 它 的 信息 传输 。 例如 ， 
如 果 人 允许 对 防火 墙 后 面 的 内 部 系统 进行 拨号 访问 ， 那 么 防火 墙 绝对 没有 办 法 阻止 入 侵 者 进 
行 拨号 入 侵 。 

3. 防火 墙 不 能 防备 全 部 的 威胁 

防火 墙 是 一 种 被 动 式 的 防护 手段 ， 用 来 防备 已 知 的 威胁 ， 一 个 很 好 的 防火 墙 设计 方案 
可 以 防备 新 威胁 ， 但 没有 一 个 防火 墙 能 自动 地 防御 所 有 新 的 威胁 。 
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4. 防火 墙 不 能 防范 病毒 

防火 墙 不 能 防范 网 络 上 或 计算 机 中 的 病毒 。 虽 然 许 多 防火 墙 可 以 扫描 所 有 通过 它 的 信 
息 ， 以 决定 是 否 允 许 它 通过 ， 但 这 种 扫描 是 针对 源 地 址 、 目 标 地 址 和 端口 号 ， 而 不 是 数据 
的 具体 内 容 。 即 使 是 先进 的 数据 包 过 滤 系 统 也 难以 防范 病毒 ， 因 为 病毒 的 种 类 太 多 ， 而 
病毒 可 以 通过 许多 种 手段 隐藏 在 数据 中 。 防 火 墙 要 检测 网 络 数据 中 的 病毒 十 分 困难 ， 它 
要 求 : 

(1) 确认 数据 包 是 程序 的 一 部 分 。 

(2) 确定 程序 的 功能 。 

(3) 确定 病毒 引起 的 改变 。 

事实 上 ， 大 多 数 防火 墙 采用 不 同 的 方式 来 保护 不 同类 型 的 计算 机 。 当 数据 在 网 络 上 进 
行 传输 时 ， 要 被 打包 并 经 常 被 压缩 ， 这 样 便 给 病毒 带 来 了 可 乘 之 机 。 所 以 无 论 防火 墙 是 多 
么 安全 ， 用 户 只 能 在 防火 墙 后 面 消除 病毒 。 

S.， 防火 墙 极 有 可 能 限制 某 些 有 用 的 网 络 服务 

防火 墙 为 了 提高 被 保护 网 络 的 安全 性 ， 限 制 或 关闭 了 很 多 有 用 但 存在 安全 缺陷 的 网 络 
服务 。 由 于 大 多 数 网 络 服务 在 设计 之 初 根本 没 考虑 安全 性 ， 只 考虑 使 用 的 方便 性 和 资源 共 
享 ， 因 此 都 存在 安全 问题 。 防 火 墙 一 旦 限制 了 这 些 网 络 服务 ， 就 等 于 从 一 个 极端 走 到 了 另 
外 一 个 极端 。 

6 防火 墙 无 法 防范 数据 驱动 式 攻击 

数据 驱动 式 攻击 从 表面 上 看 是 无 害 的 数据 被 邮寄 或 复制 到 Intemet 主机 上 ， 一 旦 执行 
就 开始 攻击 。 例 如 ， 一 个 数据 驱动 式 攻 击 可 能 导致 主机 修改 与 安全 相关 的 文件 ， 使 得 入 侵 
者 很 容易 获得 对 系统 的 访问 权限 。 


6.2 DMZ 简介 


6.2.1 DMZ 的 概念 


DMZ (Demilitarized Zone， 隔 离 区 ) 也 称 为 “ 非 军 事 化 区 ”， 是 为 了 解决 安装 防火 墙 
后 外 部 网 络 不 能 访问 内 部 网 络 服务 器 的 问题 而 设立 的 一 个 非 安全 系统 与 安全 系统 之 间 的 缓 
冲 区 。 这 个 缓冲 区 位 于 企业 内 部 网 络 和 外 部 网 络 之 间 的 小 网 络 区 域内 ， 在 这 个 小 网 络 区 域 
内 可 以 放置 一 些 必 须 公 开 的 服务 器 设施 ， 如 企业 Web 服务 器 、FTP 服务 器 和 论坛 等 。 另 一 
方面 ， 通 过 这 样 一 个 DMZ 区 域 ， 更 加 有 效 地 保护 了 内 部 网 络 ， 因 为 这 种 网 络 部 署 比 起 一 
般 的 防火 墙 方案 对 攻击 者 来 说 又 多 了 一 道 关 卡 。DMZ 示意 图 如 图 6.3 所 示 。 

网 络 设备 开发 商 利用 这 一 技术 开发 出 了 相应 的 防火 墙 解决 方案 ， 称 为 “ 非 军事 区 结构 
模式 ”。DMZ 通常 是 一 个 过 滤 的 子 网 ， 在 内 部 网 络 和 外 部 网 络 之 间 构 造 了 一 个 安全 地 带 。 

DMZ 防火 墙 方案 为 要 保护 的 内 部 网 络 增加 了 一 道 安全 防线 ， 通 常 认 为 是 非常 安全 的 。 
同时 它 提 供 了 一 个 区 域 放置 公共 服务 器 ， 从 而 又 能 有 效 地 避免 一 些 互 联 应 用 需要 公开 ， 却 
与 内 部 安全 策略 相 矛 盾 的 情况 发 生 。 在 DMZ 区 域 中 通常 包括 堡垒 主机 、Modem 池 及 所 有 
的 公共 服务 器 。 需 要 注意 的 是 ， 电 子 商务 服务 器 只 能 用 作用 户 连接 ， 真 正 的 电子 商务 后 台 
数据 需要 放 在 内 部 网 络 中 。 


图 6.3 DMZ 示意 图 


在 这 个 防火 墙 方案 中 包括 两 个 防火 墙 ， 外 部 防火 墙 抵挡 外 部 网 络 的 攻击 ， 并 管理 所 有 
内 部 网 络 对 DMZ 的 访问 ; 内 部 防火 墙 管理 DMZ 对 于 内 部 网 络 的 访问 。 内 部 防火 墙 是 内 部 
网 络 的 第 三 道 安全 防线 (前面 有 了 外 部 防火 墙 和 堡垒 主机 )， 当 外 部 防火 墙 失 效 的 时 候 ， 它 
还 可 以 起 到 保护 内 部 网 络 的 功能 。 而 局 域 网 内 部 ， 对 于 Internet 的 访问 由 内 部 防火 墙 和 位 
于 DMZ 的 堡垒 主机 控制 。 在 这 样 的 结构 里 ， 一 个 黑客 必须 通过 三 个 独立 的 区 域外 部 防 
火 墙 、 内 部 防火 墙 和 堡垒 主机 》 才 能够 到 达 局 域 网。 攻击 难度 大 大 加 强 ， 相 应 内 部 网 络 的 
安全 性 也 就 大 大 加 强 ， 但 投资 成 本 也 是 最 高 的 。 

如 果 计 算 机 不 提供 网 站 或 其 他 的 网 络 服务 的 话 不 要 设置 .DMZ 是 把 计算 机 的 所 有 端口 
开放 到 网 络 。 


6.2.2 DMZ 网 络 访问 控制 策略 


当 规 划一 个 拥有 DMZ 的 网 络 时 , 可 以 明确 各 个 网 络 之 间 的 访问 关系 , 可 以 确定 以 下 6 
条 访问 控制 策略 : 

(1) 内 网 可 以 访问 外 网 。 内 网 的 用 户 显然 需要 自由 地 访问 外 网 。 在 这 一 策略 中 ， 防 火 
墙 需要 进行 源 地 址 转换 。 

(2) 内 网 可 以 访问 DMZ。 此 策略 是 为 了 方便 内 网 用 户 使 用 和 管理 DMZ 中 的 服务 器 。 

(3) 外 网 不 能 访问 内 网 。 很 显然 ， 内 网 中 存放 的 是 公司 内 部 数据 ， 这 些 数据 不 允许 外 
网 的 用 户 进 行 访问 。 

(4) 外 网 可 以 访问 DMZ。DMZ 中 的 服务 器 本 身 就 是 要 给 外 界 提供 服务 的 ， 所 以 外 网 
必须 可 以 访问 DMZ。 同时， 外 网 访问 DMZ 需要 由 防火 墙 完成 对 外 地 址 到 服务 器 实际 地 址 
的 转换 。 

(5) DMZ 不 能 访问 内 网 。 很 明显 ， 如 果 违 背 此 策略 ， 则 当 入 侵 者 攻陷 DMZ 时 就 可 以 
进一步 进攻 到 内 网 的 重要 数据 。 

(6) DMZ 不 能 访问 外 网 。 此 条 策略 也 有 例外 ， 如 DMZ 中 放置 邮件 服务 器 时 就 需要 访 
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问 外 网 ， 否 则 将 不 能 正常 工作 。 在 网 络 中 ， 非 军事 区 是 指 为 不 信任 系统 提供 服务 的 孤立 网 
段 ， 其 目的 是 把 敏感 的 内 部 网 络 和 其 他 提供 访问 服务 的 网 络 分 开 ， 阻 止 内 网 和 外 网 直接 通 
言 ， 以 保证 内 网 安全 。 


6.2.3 DMLZ 服务 配置 


DMZ 提供 的 服务 是 经 过 了 网 络 地 址 转换 (NAT) 并 受到 安全 规则 限制 的 ， 以 达到 隐蔽 
真实 地 址 、 控 制 访问 的 功能 。 首 先 要 根据 将 要 提供 的 服务 和 安全 策略 建立 一 个 清晰 的 网 络 
拓扑 ， 确 定 DMZ 应 用 服务 器 的 卫 和 端口 号 及 数据 流向 。 通 常 网 络 通信 流向 为 禁止 外 网 区 
与 内 网 区 直接 通信 ,DMZ 既 可 与 外 网 区 进行 通信 ， 也 可 以 与 内 网 区 进行 通信 ， 受 到 安全 规 
则 限制 。 

1. 网 络 地 址 转换 (NAT) 

DMZ 服务 器 与 内 网 区 、 外 网 区 的 通信 是 经 过 网 络 地 址 转换 实现 的 。 网 络 地 址 转换 用 于 
将 一 个 地 址 域 (如 专用 Intranet) 映射 到 另 一 个 地 址 域 (如 Intemet)， 以 达到 隐藏 专用 网 络 
的 目的 。 DMZ 服务 器 对 内 服务 时 映射 成 内 网 地 址 ， 对 外 服务 时 映射 成 外 网 地 址 。 采用 静态 
映射 配置 网 络 地 址 转换 时 ， 服 务 用 人 P 和 真实 IP 要 一 一 映射 ， 源 地 址 转换 和 目的 地 址 转换 
都 必须 要 有 。 

2. DMZ 安全 规则 制定 

安全 规则 集 是 安全 策略 的 技术 实现 ， 一 个 可 靠 、 高 效 的 安全 规则 集 是 实现 一 个 成 功 、 
安全 的 防火 墙 非常 关键 的 一 步 。 如 果 防 火 墙 规则 集 配 置 错误 ， 再 好 的 防火 墙 也 只 是 摆设 。 
在 建立 规则 集 时 必须 注意 规则 次 序 , 因为 防火 墙 大 多 以 顺序 方式 检查 信息 包 , 同样 的 规则 ， 
以 不 同 的 次 序 放置 ， 可 能 会 完全 改变 防火 墙 的 运转 情况 。 如 果 信 息 包 经 过 每 一 条 规则 而 
没有 发 现 匹 配 ， 这 个 信息 包 便 会 被 拒绝 。 一 般 来 说 ， 通 常 的 顺序 是 较 特殊 的 规则 在 前 ， 
较 普通 的 规则 在 后 ， 防 止 在 找到 一 个 特殊 规则 之 前 一 个 普通 规则 被 匹配 ， 避 免 防火 墙 配 置 
错误 。 

DMZ 安全 规则 指定 了 非 军事 区 内 的 某 一 主机 (IP 地 址 ) 对 应 的 安全 策略 。 由 于 DMZ 
内 放置 的 服务 器 主机 将 提供 公共 服务 ， 其 地 址 是 公开 的 ， 可 以 被 外 部 网 的 用 户 访问 ， 因 此 
正确 设置 DMZ 安全 规则 对 保证 网 络 安全 是 十 分 重要 的 。 
防火 墙 可 以 根据 数据 包 的 地 址 、 协 议和 端口 进行 访问 控制 。 它 将 每 个 连接 作为 一 个 数 
据 流 ， 通 过 规则 表 与 连接 表 共 同 配合 ， 对 网 络 连接 和 会 话 的 当前 状态 进行 分 析 和 监控 。 其 
用 于 过 滤 和 监控 的 他 包 信 息 主要 有 源 耳 地 址 、 目 的 了 瑟 地 址 、 协 议 类 型 (IP、ICMP、TCP、 
UDP)、 源 TCP/UDP 端口 、 目 的 TCP/UDP 端口 、ICMP 报 文 类 型 域 和 代码 域 、 碎 片 包 和 其 
他 标志 位 (如 SYN、ACK 位 ) 等 。 

为 了 让 DMZ 的 应 用 服务 器 能 与 内 网 中 服务 器 通信 ， 需 增加 DMZ 安全 规则 ， 这 样 一 
个 基于 DMZ 的 安全 应 用 服务 便 配 置 好 了 。 其 他 的 应 用 服务 可 根据 安全 策略 逐个 配置 。 

DMZ 无 疑 是 网 络 安全 防御 体系 中 的 重要 组 成 部 分 ,再 加 上 入 侵 检测 和 基于 主机 的 其 他 
安全 措施 ， 将 极 大 地 提高 公共 服务 及 整个 系统 的 安全 性 。 


6.3 ”防火 墙 的 技术 发 展 历程 
6.3.1 第 一 代 防 火 墙 : 基于 路 由 器 的 防火 墙 


于 多 数 路 由 器 本 身 就 包含 有 分 组 过 滤 功 能 ， 故 网 络 访问 控制 可 通过 路 由 控制 来 实 
现 ， 从 而 使 具有 分 组 过 滤 功 能 的 路 由 器 成 为 第 一 代 防 火 墙 产品 。 

1， 基 于 路 由 器 防火 墙 的 特点 

(1) 利用 路 由 器 本 身 对 分 组 的 解析 ， 以 访问 控制 表 方式 实现 对 分 组 的 过 滤 。 

(2) 过 滤 判 决 的 依据 可 以 是 下 地 址 、 端 口号 及 其 他 网 络 特征 。 

(3) 只 有 分 组 过 滤 功 能 ， 且 防火 墙 与 路 由 器 是 一 体 的 ， 对 安全 要 求 低 的 网 络 采用 路 由 
器 附带 防火 墙 功能 的 方法 ， 对 安全 性 要 求 高 的 网 络 则 可 单独 利用 一 台 路 由 器 作为 防火 墙 。 

2. 基于 路 由 器 防火 墙 的 不 足 

(1) 本 身 具有 安全 漏洞 ， 外 部 网 络 要 探寻 内 部 网 络 十 分 容易 。 例 如 ， 在 使 用 FTP 协议 
时 ， 外 部 服务 器 容易 从 21 端口 上 与 内 部 网 相连 ， 即 使 在 路 由 器 上 设置 了 过 滤 规则 ,内 部 网 
络 的 21 端口 仍 可 由 外 部 探寻 。 

(2) 分 组 过 滤 规 则 的 设置 和 配置 存在 安全 隐患 。 对 路 由 器 中 过 滤 规 则 的 设置 和 配置 十 
分 复杂 ， 它 涉及 规则 的 逻辑 一 臻 性、 作用 端口 的 有 效 性 和 规则 集 的 正确 性 ， 一 般 的 网 络 系 
统管 理 员 难 于 胜任 ， 加 之 一 旦 出 现 新 的 协议 ， 管 理 员 就 要 加 上 更 多 的 规则 去 限制 ， 这 往往 
会 带 来 很 多 错误 。 

(3) 攻击 者 可 “假冒 ”地 址 ， 黑 客 可 以 在 网 络 上 伪造 假 的 路 由 信息 欺骗 防火 墙 。 

(4) 由 于 路 由 器 的 主要 功能 是 为 网 络 访问 提供 动态 的 、 灵 活 的 路 由 ， 而 防火 墙 则 要 对 
访问 行为 实施 静态 的 、 固 定 的 控制 ， 这 是 一 对 难以 调和 的 矛盾 ， 防 火 墙 的 规则 设置 会 大 大 
降低 路 由 器 的 性 能 。 


6.3.2 ”第 二 代 防 火 墙 : 用 户 化 的 防火 墙 


1. 用 户 化 防火 墙 的 特点 
(1) 将 过 滤 功 能 从 路 由 器 中 独立 出 来 ， 并 加 上 审计 和 告警 功能 。 
(2) 针对 用 户 需求 ， 提 供 模块 化 的 软件 包 。 
(3) 软件 可 通过 网 络 发 送 ， 用 户 可 自己 动手 构造 防火 墙 。 
(4) 与 第 一 代 防 火 墙 相 比 ， 安 全 性 提高 而 价格 降低 了 。 
于 是 纯 软 件 产品 ， 第 二 代 防 火 墙 产品 无 论 在 实现 还 是 在 维护 上 都 对 系统 管理 员 提 出 
了 相当 复杂 的 要 求 。 
2. 用 户 化 防火 墙 的 不 足 
(1) 配置 和 维护 过 程 复杂 、 费 时 。 
(2) 对 用 户 的 技术 要 求 高 。 
(3) 全 软件 实现 、 安 全 性 和 处 理 速度 均 有 局 限 。 
(4) 实践 表明 ， 使 用 中 出 现 差 错 的 情况 很 多 。 


房 火 奉 长 大 


才 O 泊 


网 缘 颁 会 与 合理 ( 谎 二 斤 ) 


6.3.3 第 三 代 防 火 墙 : 建立 在 通用 操作 系统 上 的 防火 墙 


基于 软件 的 防火 墙 在 销售 、 使 用 和 维护 上 的 问题 迫使 防火 墙 开 发 商 很 快 推出 了 建立 在 
通用 操作 系统 上 的 商用 防火 墙 产品 ， 近 年 来 在 市 场 上 广泛 使 用 的 就 是 这 一 代 产 品 。 

1. 通用 操作 系统 防火 墙 的 特点 

(1) 批量 上 市 的 专用 防火 墙 产品 。 

(2) 包括 分 组 过 滤 或 借用 了 路 由 器 的 分 组 过 滤 功 能 。 

(3) 装 有 专用 的 代理 系统 ， 监 控 所 有 协议 的 数据 和 指令 。 

(4) 保护 用 户 编程 空间 和 用 户 可 配置 内 核 参 数 的 设置 。 

(5) 安全 性 和 速度 大 为 提高 。 

第 三 代 防 火 墙 有 以 纯 软 件 实现 的 ， 也 有 以 硬件 方式 实现 的 。 但 随 着 安全 需求 的 变化 和 
使 用 时 间 的 推 延 ， 仍 表现 出 不 少 问题 。 

2. 通用 操作 系统 防火 墙 的 不 足 

(1) 作为 基础 的 操作 系统 ， 其 内 核 往往 不 为 防火 墙 管理 者 所 知 ， 由 于 原 码 的 保密 ， 其 
安全 性 无 从 保证 。 

(2) 大 多 数 防火 墙 厂 商 并 非 通用 操作 系统 的 厂商 ， 通 用 操作 系统 厂商 不 会 对 操作 系统 
的 安全 性 负责 。 

上 述 问 题 在 基于 Windows NT 开发 的 防火 墙 产品 中 表现 得 十 分 明显 。 
6.3.4 第 四 代 防 火 墙 : 具有 安全 操作 系统 的 防火 堵 


这 是 目前 防火 墙 产品 的 主要 发 展 趋势 。 具 有 安全 操作 系统 的 防火 墙 本 身 就 是 一 个 操作 
系统 ， 因 而 在 安全 性 上 较 第 三 代 防 火 墙 有 质 的 提高 。 获 得 安全 操作 系统 的 办 法 有 两 种 ; 
一 种 是 通过 许可 证 方式 获得 操作 系统 的 源码 ， 另 一 种 是 通过 固化 操作 系统 内 核 来 提高 可 
靠 性 。 

安全 操作 系统 防火 墙 的 特点 如 下 

(1) 防火 墙 厂商 具有 操作 系统 的 源 代 码 ， 并 可 实现 安全 内 核 。 

(2) 对 安全 内 核实 现 加 固 处 理 ， 即 去 掉 不 必要 的 系统 特性 ， 加 上 内 核 特性 ， 强 化 安全 
保护 。 

(3) 对 每 个 服务 器 、 子 系统 都 作 了 安全 处 理 ， 一 旦 黑客 攻破 了 一 个 服务 器 ， 它 将 会 被 
隔离 在 此 服务 器 内 ， 不 会 对 网 络 的 其 他 部 分 构成 威胁 。 

(4) 在 功能 上 包括 了 分 组 过 滤 、 应 用 网 关 、 电 路 级 网 关 ， 且 具有 加 密 与 鉴别 功能 。 

(5) 透明 性 好 ， 易 于 使 用 。 

上 述 阶段 的 划分 主要 以 产品 为 对 象 ， 目 的 在 于 对 防火 墙 的 发 展 有 一 个 总 体 勾画 。 


6.4 防火墙 的 分 类 


如 果 从 防火 墙 的 软 、 硬 件 形式 来 分 的 话 ， 防 火 墙 可 以 分 为 软件 防火 墙 和 硬件 防火 墙 两 


种 。 如 果 防火 墙根 据 防范 的 方式 和 侧重 点 的 不 同 来 进行 分 类 ， 可 以 分 为 三 大 类 : 包 过 滤 、 
状态 检测 包 过 滤 、 应 用 代理 。 


6.4.1 软件 防火 墙 


软件 防火 墙 运行 于 特定 的 计算 机 上 ， 它 需要 用 户 预先 安装 好 的 计算 机 操作 系统 的 支 
持 ， 一 般 来 说 这 台 计 算 机 就 是 整个 网 络 的 网 关 。 软 件 防 火 墙 就 像 其 他 的 软件 产品 一 样 需要 
先 在 计算 机 上 安装 并 做 好 配置 才 可 以 使 用 。 使 用 这 类 防火 墙 ， 需 要 用 户 对 所 工作 的 操作 系 
统 平台 比较 熟悉 。 

个 人 防火 墙 是 软件 防火 墙 中 比较 常见 的 一 种 ， 可 为 个 人 计算 机 提供 简单 的 防火 墙 功 
能 。 目 前 常用 的 个 人 防火 墙 有 360 防火 墙 、 天 网 个 人 防火 墙 、 瑞 星 个 人 防火 墙 等 。 个 人 防 
火 墙 是 安装 在 个 人 计算 机 上 ， 而 不 是 放置 在 网 络 边界 ， 因 此 个 人 防火 墙 关 心 的 不 是 一 个 网 
络 到 另外 一 个 网 络 的 安全 ， 而 是 单个 主机 和 与 之 相连 接 的 主机 或 网 络 之 间 的 安全 。 

个 人 防火 墙 使 用 方便 ， 配 置 简单 ， 但 也 具有 一 定 的 局 限 性 ， 其 应 用 范围 较 小 ， 且 只 支 
持 Windows 系统 ， 功 能 相对 来 说 要 弱 很 多 ， 并 且 安 全 性 和 并 发 连接 处 理 能 力 较 差 。 

作为 网 络 防火 墙 的 软件 防火 墙 具 有 比 个 人 防火 墙 更 强 的 控制 功能 和 更 高 的 性 能 。 不 仅 
支持 Windows 系统 ， 而 且 多 数 都 支持 UNIX 或 Linux 系统 ， 如 十 分 著名 的 Check Point 
FireWall、Microsoft ISA Server 等 。 

软件 防火 墙 与 硬件 防火 墙 相 比 在 性 能 上 和 抗 攻击 能 力 上 都 比较 弱 ， 如 果 所 在 的 网 络 环 
卉 中 攻击 频 度 不 是 很 高 ， 用 软件 防火 墙 就 能 满足 要 求 。 但 如 果 是 较 大 型 的 网 络 ， 就 需要 硬 
件 防火 墙 来 进行 保护 了 。 

6.4.2 包 过 滤 防 火 墙 


包 过 滤 防 火 墙 是 用 一 个 软件 查看 所 流 经 的 数据 包 的 包头 (Header),， 由 此 决定 整个 包 的 
命运 。 它 可 能 会 决定 丢弃 这 个 包 ， 可 能 会 接受 这 个 包 〈 让 这 个 包 通 过 )， 也 可 能 执行 其 他 更 
复杂 的 动作 。 

在 Linux 系统 下 ， 包 过 滤 功 能 是 内 建 于 核心 的 (作为 一 个 核心 模块 ， 或 者 直接 内 建 )， 
同时 还 有 一 些 可 以 运用 于 数据 包 之 上 的 技巧 ， 不 过 最 常用 的 依然 是 查看 包头 以 决定 包 的 
命运 。 

包 过 滤 是 一 种 内 置 于 Linux 内 核 路 由 功能 之 上 的 防火 墙 类 型 , 其 防火 墙 工作 在 网 络 层 。 
包 过 滤 防 火 墙 的 工作 层次 如 图 6.4 所 示 。 


1. 工作 原理 
包 过 滤 防火 墙 的 工作 原理 可 以 分 为 以 下 几 个 方面 。 
(1) 使 用 过 滤器 。 


数据 包 过 滤 用 在 内 部 主机 和 外 部 主机 之 间 ， 过 滤 系 统 是 一 台 路 由 器 或 是 一 台 主机 。 当 
执行 数据 包 时 ， 过 滤 规 则 用 来 匹配 数据 包 内 容 以 决定 哪些 包 被 允许 和 哪些 包 被 拒绝 。 当 拒 
绝 流量 时 ， 可 以 采用 两 个 操作 : 通知 流量 的 发 送 者 其 数据 将 丢弃 ， 或 者 没有 任何 通知 直接 
丢弃 这 些 数据 。 

包 过 滤 防 火 墙 能 过 滤 以 下 类 型 的 信息 : 


房 火 村 长 大 
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@O 第 3 层 的 源 和 目的 地 址 。 

@ 第 3 层 的 协议 信息 。 

@ 第 4 层 的 协议 信息 。 

@ 发 送 或 接收 流量 的 端口 号 。 

数据 包 过 滤 是 通过 对 数据 包 的 IP 头 和 TCP 头 或 UDP 头 的 检查 来 实现 的 ， 在 TCP/IP 
中 存在 着 一 些 标准 的 服务 端口 号 ， 例 如 HTTP 的 端口 号 为 80。 通 过 屏蔽 特定 的 端口 可 以 禁 
止 特定 的 服务 。 包 过 滤 系 统 可 以 阻塞 内 部 主机 和 外 部 主机 或 另外 一 个 网 络 之 间 的 连接 ， 例 
如 可 以 阻塞 一 些 被 视 为 是 有 敌意 的 或 不 可 信 的 主机 或 网 络 连接 到 内 部 网 络 中 。 


外 网 防火 墙 内 网 


应 用 层 应 用 层 应 用 层 
表示 层 表示 层 表示 层 
会 话 层 会 话 层 会 话 层 
传输 层 传输 层 传输 层 
网 络 层 同 绩 友 网 络 层 
数据 链 路 层 数据 链 路 层 数据 链 路 层 
物理 层 物理 层 | 物理 层 


图 6.4 包 过 滤 防 火 墙 的 工作 层次 


(2) 过 滤器 的 实现 。 

数据 包 过 滤 一 般 使 用 过 滤 路 由 器 来 实现 ， 这 种 路 由 器 与 普通 的 路 由 器 有 所 不 同 。 普 通 
的 路 由 器 只 检查 数据 包 的 目标 地 址 ， 并 选择 一 个 达到 目的 地 址 的 最 佳 路 径 。 它 处 理 数据 包 
是 以 目标 地 址 为 基础 的 ， 存 在 着 两 种 可 能 性 ， 若 路 由 器 可 以 找到 一 个 路 径 到 达 目 标 地 址 则 
发 送出 去 ;者 路 由 器 不 知道 如 何 发 送 数 据 包 ， 则 通知 数据 包 的 发 送 者 “数据 包 不 可 达 ”。 

过 滤 路 由 器 会 更 加 仔细 地 检查 数据 包 ， 除 了 决定 是 否 有 到 达 目 标 地 址 的 路 径 外 ， 还 要 
决定 是 否 应 该 发 送 数据 包 。 应 该 与 否 是 由 路 由 器 的 过 滤 策 略 决定 并 强行 执行 的 。 

(3) 包 过 滤器 操作 过 程 。 

包 过 滤器 操作 的 基本 过 程 如 图 6.5 所 示 。 下 面 做 个 简单 的 叙述 。 

@ 包 过 滤 规 则 必须 被 包 过 滤 设 备 端口 存储 在 安全 策略 设置 里 。 

@ 当 包 到 达 端 口 时 ， 对 包 报 头 进行 语法 分 析 。 大 多 数 包 过 滤 设 备 只 检查 IP、TCP 或 
UDP 报头 中 的 字段 。 

@ 包 过 滤 规 则 以 特殊 的 方式 存储 。 应 用 于 包 的 规则 的 顺序 与 包 过 滤器 规则 存储 顺序 
必须 相同 。 

@ 若 一 条 规则 阻止 包 传输 或 接收 ， 则 此 包 便 不 符合 条 件 ， 并 被 丢弃 。 


@ 若 一 条 规则 允许 包 传输 或 接收 ， 则 此 包 便 符合 条 件 ， 可 以 被 继续 处 理 。 
@ 符合 条 件 的 包 将 检查 路 由 信息 并 被 转发 出 去 。 


IP 包 源 地 址 
IP 包 目的 地 址 


图 6.5 包 过 滤器 操作 过 程 
2. 包 过 滤 技 术 的 优 缺 点 


(1) 处 理 包 的 速度 比 代理 服务 器 快 ， 过 滤 路 由 器 为 用 户 提供 了 一 种 透明 的 服务 ， 用 户 
不 用 改变 客户 端 程序 或 改变 自己 的 行为 。 

(2) 实现 包 过 滤 儿 乎 不 再 需要 费用 (或 极 少 的 费用 )， 因 为 这 些 特点 都 包含 在 标准 的 
路 由 器 软件 中 。 

(3) 包 过 滤 路 由 器 对 用 户 和 应 用 来 讲 是 透明 的 。 

包 过 滤 型 防火 墙 存在 以 下 缺点 : 

(1) 防火 墙 的 维护 比较 困难 ， 定 义 数 据 包 过 滤器 会 比较 复杂 ， 因 为 网 络 管理 员 需 要 对 
各 种 Intemet 服务 、 包 头 格式 及 每 个 域 的 意义 有 非常 深入 的 理解 ， 才 能 将 过 滤 规 则 集 尽 量 
定义 的 完善 。 

(2) 只 能 阻止 一 种 类 型 的 PP 欺骗 ， 即 外 部 主机 伪装 内 部 主机 的 耳 ， 对 于 外 部 主机 伪 
装 其 他 可 信任 外 部 主机 的 下 却 不 可 阻止。 

(3) 任何 直接 经 过 路 由 器 的 数据 包 都 有 被 用 做 数据 驱动 攻击 的 潜在 危险 。 

(4) 一 些 包 过 滤 网 关 不 支持 有 效 的 用 户 认证 。 

(5) 不 可 能 提供 有 用 的 日 志 ， 日 志 功 能 被 局 限 在 第 3 层 和 第 4 层 的 信息 。 例 如 ， 不 能 
记录 封装 在 HTTP 传输 报 文中 的 应 用 层 数 据 ， 这 使 用 户 发 觉 网 络 受 攻 击 的 难度 加 大 ， 也 就 
谈 不 上 根据 日 志 进 行 网 络 的 优化 、 完 善 及 追查 责任 。 

(6) 随 着 过 滤器 数目 的 增加 ， 路 由 器 的 吞吐 量 会 下 降 。 

(7) 卫 包 过 滤器 无 法 对 网 络 上 流动 的 信息 提供 全 面 的 控制 。 

(8) 允许 外 部 网 络 直接 连接 到 内 部 网 络 的 主机 上 ， 易 造成 敏感 数据 的 泄露 。 

虽然 包 过 滤 防 火 墙 有 上 述 缺点 ， 但 是 在 管理 良好 的 小 规模 网 络 上 ， 它 能 够 正常 的 发 挥 
其 作用 。 一 般 情 况 下 ， 人 们 不 单独 使 用 包 过 滤 网 关 ， 而 是 将 它 和 其 他 设备 〈 如 保 垒 主机 等 ) 
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联合 使 用 。 

3， 包 过 深 防 火 墙 的 使 用 
因为 上 面 缺点 的 限制 ， 包 过 滤 防 火 墙 通常 用 在 以 下 方面 : 

(1) 作为 第 一 线 防御 (边界 路 由 器 )。 

(2) 当 用 包 过 滤 就 能 完全 实现 安全 策略 并 且 认证 不 是 一 个 问题 的 时 候 。 

(3) 在 要 求 最 低 安全 性 并 要 考虑 成 本 的 SOHO 网 络 中 。 

包 过 滤 防 火 墙 能 用 于 不 同 子 网 之 间 不 需要 认证 的 内 部 访问 控制 。 当 和 其 他 类 型 的 防火 
墙 相 比 ， 因 为 包 过 滤 防 火 墙 的 简易 性 和 低 成 本 ， 很 多 SOHO 网 络 使 用 包 过 滤 防 火 墙 .虽然 
包 过 滤 防 火 墙 不 能 为 SOHO 提供 全 面 的 保护 , 但 是 至 少 提供 了 最 低级 别 的 保护 来 防御 很 多 
类 型 的 网 络 威胁 和 攻击 。 

6.4.3 ”状态 检测 防火 墙 

状态 检测 防火 墙 又 称 为 动态 包 过 滤 ， 是 传统 包 过 滤 上 的 功能 扩展 。 状 态 检测 防火 墙 在 
网 络 层 有 一 个 检查 引擎 截获 数据 包 并 抽取 出 与 应 用 层 状态 有 关 的 信息 ， 并 以 此 为 依据 决定 
对 该 连接 是 接受 还 是 拒绝 。 这 种 技术 提供 了 高 度 安全 的 解决 方案 ， 同 时 具有 较 好 的 适应 性 
和 扩展 性 。 

1， 状 态 检测 防火 墙 的 基本 原理 

状态 检测 防火 墙 一 般 也 包括 一 些 代理 级 的 服务 ， 它 们 提供 附加 的 对 特定 应 用 程序 数据 
内 容 的 支持 。 状 态 检测 技术 最 适合 提供 对 UDP 协议 的 有 限 支持 。 它 将 所 有 通过 防火 墙 的 
UDP 分 组 均 视 为 一 个 虚 连接 ， 当 反 向 应 答 分 组 送 达 时 就 认为 一 个 虚拟 连接 已 经 建立 。 状 态 
检测 防火 墙 克服 了 包 过 滤 防 火 墙 和 应 用 代理 服务 器 的 局 限 性 ， 不 仅仅 检测 to 和 from 的 地 
址 ， 而 且 不 要 求 每 个 访问 的 应 用 都 有 代理 。 

状态 检测 防火 墙 工作 于 传输 层 ， 与 包 过 滤 防 火 墙 相 比 ， 状 态 检 测 防火 墙 判断 允 许 还 是 
禁止 数据 流 的 依据 也 是 源 卫 地 址 、 目 的 也 地 址 、 源 端口 、 目 的 端口 和 通信 协议 等 。 与 包 
过 滤 防 火 墙 不 同 的 是 ， 状 态 检测 防火 墙 是 基于 会 话 信息 做 出 决策 的 ， 而 不 是 包 的 信息 。 状 
态 检测 防火 墙 握 弃 了 包 过 滤 防 火 墙 仅 考查 数据 包 的 他 地 址 等 几 个 参数 , 而 且 不 关心 数据 包 
连接 状态 变化 的 缺点 ， 在 防火 墙 的 核心 部 分 建立 状态 连接 表 ， 并 将 进出 网 络 的 数据 当成 一 
个 个 的 会 话 ， 利 用 状态 表 跟 踪 每 一 个 会 话 状态 。 状 态 监测 对 每 一 个 包 的 检查 不 仅 根据 规则 
表 ， 更 考虑 了 数据 包 是 否 符合 会 话 所 处 的 状态 ， 因 此 提供 了 完整 的 对 传输 层 的 控制 能 力 。 

2， 状 态 检测 包 过 滤器 操作 过 程 

状态 检测 包 过 滤器 操作 的 基本 过 程 如 图 6.6 所 示 。 下 面 做 个 简单 的 叙述 。 

(1) 包 过 滤 规则 必须 被 存储 在 安全 策略 设置 里 。 

(2) 当 包 到 达 端 口 时 ， 对 包 报 头 进 行 语法 分 析 ， 同 时 在 会 话 连接 状态 缓存 表 中 保持 一 


个 状态 。 
(3) 数据 包 还 要 和 会 话 连接 状态 缓存 表 中 的 会 话 所 处 的 状态 进行 对 比 ， 符 合 规则 的 才 
算 检测 通过 。 


(4) 若 一 条 规则 阻止 包 传输 或 接收 ， 则 此 包 便 不 符合 条 件 ， 并 被 丢弃 。 
(5) 若 一 条 规则 允许 包 传输 或 接收 ， 则 此 包 便 符合 条 件 ， 可 以 被 继续 处 理 。 
(6) 符合 条 件 的 包 将 检查 路 由 信息 并 被 转发 出 去 。 


状态 检测 防火 墙 保持 对 连接 状态 的 跟踪 : 连接 是 否 处 于 初始 化 、 数据 传输 或 终止 状态 。 
当 想 拒绝 来 自 外 部 设备 的 连接 初始 化 ， 但 允许 用 户 和 这 些 设 备 建立 连接 并 允许 响应 通过 状 
态 防 火 墙 返 回 时 ， 这 种 防火 墙 很 有 用 。 

从 传输 层 的 角度 看 , 状态 防火 墙 检查 第 3 层 数据 包头 和 第 4 层 报 文 头 中 的 信息 。 例如， 
查看 TCP 头 中 的 SYN、RST、ACK、FIN 和 其 他 控制 代码 来 确定 连接 的 状态 。 


让 包 滨 地 好 自 的 地 址 “Qe = 
TCP/UDP 源 端口 
TCP 会 话 连 接 状 态 
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图 6.6 ”状态 检测 防火 墙 的 工作 原理 


3. 状态 检测 防火 墙 优 缺 点 

状态 检测 防火 墙 具 有 以 下 优点 : 

(1) 具有 检查 瑟 包 的 每 个 字段 的 能 力 ， 并 遵从 基于 包 中 信息 的 过 滤 规 则 。 

(2) 知道 连接 的 状态 。 

(3) 无 须 打 开 很 大 范围 的 端口 以 允许 通信 。 

(4) 比 包 过 滤 防 火 墙 阻 止 更 多 类 型 的 Dog 攻击 ， 并 有 更 丰富 的 日 志 功 能 。 

状态 检测 防火 墙 具有 以 下 缺点 : 

(1) 所 有 这 些 记录 、 测 试 和 分 析 工 作 可 能 会 造成 网 络 连 接 的 某 种 迟滞 ， 特 别 是 在 同时 
有 许多 连接 激活 或 是 有 大 量 的 过 滤 网 络 通 信 的 规则 存在 时 ， 维 护 状 态 表 的 开销 会 非常 大 。 

(2) 可 能 很 复杂 ， 不 易 配 置 。 

(3) 不 能 阻止 应 用 层 的 攻击 。 


(4) 不 支持 用 


户 的 连接 认证 。 


(5) 不 是 所 有 的 协议 都 包含 状态 信息 。 


(6) 一 些 应 用 


状态 比较 困难 。 


会 打开 多 个 连接 ， 其 中 的 一 些 为 附加 连接 ， 使 用 动态 端口 号 ， 这 样 记 录 


4. 状态 检测 防火 墙 的 使 用 

状态 检测 防火 墙 通常 用 在 以 下 方面 : 

(1) 作为 防御 的 主要 方式 。 

(2) 作为 防御 第 一 线 的 智能 设备 《〈 带 状态 能 力 的 边界 路 由 器 )。 
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(3) 在 需要 比 包 过 滤 更 严格 的 安全 机 制 ， 而 不 用 增加 太 多 成 本 的 情况 下 。 


6.4.4 应 用 网 关 (代理 ) 防火 墙 


应 用 网 关 防 火 墙 通常 也 称 为 代理 防火 墙 ， 代 理 防 火 墙 彻底 隔断 内 网 与 外 网 的 直接 通 
信 ， 内 网 用 户 对 外 网 的 访问 变 成 防火 墙 对 外 网 的 访问 ， 然 后 再 由 防火 墙 转发 给 内 网 用 户 。 
所 有 通信 都 必须 经 应 用 层 代 理 软件 转发 ， 访 问 者 任何 时 候 都 不 能 与 服务 器 建立 直接 的 TCP 
连接 ， 应 用 层 的 协议 会 话 过 程 必须 符合 代理 的 安全 策略 要 求 。 


1. 应 用 网 关 防火 墙 的 工作 原理 


应 用 网 关 防 火 墙 的 主要 功能 是 通常 对 连接 请 求 认证 ， 然 后 再 允许 流量 到 达 内 外 资源 。 
这 使 得 可 以 认证 用 户 请 求 而 不 是 设备 。 为 了 使 认证 和 连接 过 程 更 加 有 效 ， 很 多 代理 防火 墙 
认证 用 户 一 次 ,然后 使 用 存储 在 认证 数据 库 中 的 授权 信息 来 确定 该 用 户 可 以 访问 哪些 资源 。 
通过 授权 来 限制 允许 该 用 户 访问 的 其 他 资源 , 而 不 要 求 用 户 为 每 个 想 访问 的 资源 进行 认证 。 


同时 ， 代 理 防 火 墙 能 用 来 认证 输入 和 输出 两 个 方向 的 连接 。 


一 个 代理 防火 墙 能 使 用 多 种 方式 来 认证 连接 请 求 ， 包 括 用 户 名 和 口令 、 令 牌 卡 信息 、 
第 3 层 的 源 地 址 和 生物 测量 信息 。 通 常 第 3 层 的 源 地址 被 用 来 认证 ， 除 非 和 其 他 方式 相 结 
合 。 认 证 信息 能 储存 在 本 地 、 一 台 安 全 服务 器 上 或 者 目录 服务 中 。 安 全 服务 器 的 例子 有 Cisco 
的 Secure ACS， 目 录 服 务 的 例子 有 Novell NDS、Microsoft Active Directory 和 LDAP。 


代理 防火 墙 工作 在 应 用 层 ， 如 图 6.7 所 示 。 
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物理 层 物理 层 物理 层 


图 6.7 代理 防火 墙 的 工作 层次 


2. 应 用 网 关 防 火 墙 的 优 缺 点 
同 包 过 滤 和 状态 防火 墙 相 比 ， 应 用 网 关 防 火 墙 具有 下 列 优点 : 
(1) 认证 个 人 ， 而 不 是 设备 。 

(2) 黑客 几乎 没有 时 间 来 进行 欺骗 和 实施 DoS 攻击 。 
(3) 能 监控 和 过 滤 应 用 层 数据 。 


(4) 能 提供 详细 的 日 志 。 
应 用 网 关 防火 墙 能 认证 试图 访问 内 部 资源 的 个 人 。 能 监控 连接 上 的 所 有 数据 ， 这 能 检 


测 应 用 攻击 ， 甚 至 能 基于 认证 和 授权 信息 控制 允许 用 户 执行 哪些 命令 和 功能 。 可 以 生成 非 
常 详 细 的 日 志 。 能 监控 用 户 正 在 通过 连接 发 送 的 实际 数据 。 

应 用 网 关 防 火 墙 具有 下 列 缺点 : 

(1) 难于 配置 。 

(2) 处 理 速度 非常 慢 。 

(3) 不 能 支持 大 规模 的 并 发 连接 。 

由 于 每 个 应 用 都 要 求 单独 的 代理 进程 ， 这 就 要 求 网 管 能 理解 每 项 应 用 协议 的 弱点 ， 并 
能 合理 的 配置 安全 策略 。 由 于 配置 烦琐 ， 难 于 理解 ， 容 易 出 现 配置 失误 ， 最 终 影响 内 网 的 
安全 防范 能 力 。 

断 掉 所 有 的 连接 ， 由 防火 墙 重新 建立 连接 ， 理 论 上 可 以 使 应 用 网 关 防 火 墙 具有 极 高 的 
安全 性 。 但 是 实际 应 用 中 并 不 可 行 ， 因 为 对 于 内 网 的 每 个 Web 访问 请 求 ， 应 用 网 关 都 需要 
开 一 个 单独 的 代理 进程 ， 建 立 一 个 个 的 服务 代理 ， 它 要 保护 内 网 的 Web 服务 器 、 数 据 库 服 
务 器 、 文 件 服务 器 、 邮 件 服务 器 及 业务 程序 等 ， 以 处 理 客户 端的 访问 请 求 。 这 样 ， 应 用 网 
关 的 处 理 延迟 会 很 大 ， 内 网 用 户 的 正常 Web 访问 不 能 及 时 得 到 响应 。 

总 之 ， 应 用 网 关 防 火 墙 不 能 支持 大 规模 的 并 发 连接 ， 在 对 速度 敏感 的 行业 使 用 这 类 防 
火 墙 时 简直 是 灾难 。 另 外 ， 防 火 墙 核心 要 求 预 先 内 置 一 些 已 知 应 用 程序 的 代理 ， 使 得 一 些 
新 出 现 的 应 用 在 代理 防火 墙 内 被 无 情 地 阻 断 ， 不 能 很 好 地 支持 新 应 用 。 

3. 应 用 网 关 防 火 墙 的 使 用 

与 包 过 滤 和 状态 检测 防火 墙 相 比 , 应 用 防火 墙 增 加 了 智能 功能 ， 所 以 通常 用 在 以 下 地 方 : 

(1) 作为 主要 的 过 滤 功 能 设备 。 

(2) 作为 边界 防御 设备 。 

(3) 一 台 应 用 代理 用 来 日 志 过 载 ， 以 及 监控 和 记录 其 他 类 型 的 流量 。 

在 IT 领域 中 , 新 应 用 、 新 技术 、 新 协议 层出不穷 , 应 用 网 关 防 火 墙 很 难 适 应 这 种 局 面 。 
因此 ， 在 一 些 重要 的 领域 和 行业 的 核心 业务 应 用 中 ， 应 用 网 关 防 火 墙 正 被 逐渐 玻 远 。 

但 是 ， 自 适应 代理 技术 的 出 现 让 应 用 代理 防火 墙 技 术 出 现 了 新 的 转机 ， 它 结合 了 代理 
防火 墙 的 安全 性 和 包 过 滤 防 火 墙 的 高 速度 等 优点 ， 在 不 损失 安全 性 的 基础 上 将 代理 防火 墙 
的 性 能 提高 了 10 倍 。 


6.5 ”防火 墙 硬件 平台 的 发 展 
6.5.1 x86 平台 


x86 是 一 个 Intel 通用 计算 机 系列 的 标准 编号 缩写 ,也 标识 一 套 通用 的 计算 机 指令 集合 。 
x 与 处 理 器 没有 任何 关系 , 它 是 一 个 对 所 有 x86 系统 的 简单 的 通配符 定义 , 例如 i386、586、 
奔腾 。 由 于 早期 Intel 的 CPU 编号 都 是 用 8086、80286 来 编号 ， 整 个 系列 的 CPU 都 是 指令 
兼容 的 ， 因 此 都 用 x86 来 标识 所 使 用 的 指令 集合 ， 如 今 的 奔腾 、 赛 扬 、 酷 寄 系 列 都 是 支持 
x86 指令 系统 的 ， 所 以 都 属于 x86 家 族 。 

x86 指令 集 是 美国 Intel 公司 为 其 第 一 块 16 位 CPU (i8086) 专门 开发 的 。 美国 IBM 公 
司 于 1981 年 推出 的 世界 上 第 一 台 计 算 机 中 的 CPU 使 用 的 也 是 x86 指令 ， 同 时 计算 机 中 为 
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提高 浮 点 数据 处 理 能 力 而 增加 的 x87 芯片 系列 数学 协 处 理 器 则 另外 使 用 x87 指令 ， 以 后 就 
将 x86 指令 集 和 x87 指令 集 统 称 为 x86 指令 集 。 虽 然 随 着 CPU 技术 的 不 断 发 展 ，Intel 陆 
续 研制 出 更 新 型 的 180386、i80486 直到 后 来 的 Pentium 4《〈 以 下 简称 为 P4) 系列 ， 但 为 了 
保证 计算 机 能 继续 运行 以 往 开 发 的 各 类 应 用 程序 以 保护 和 继承 丰富 的 软件 资源 ，Intel 公司 
所 生产 的 所 有 CPU 仍然 继续 使 用 x86 指令 集 ， 它 的 CPU 仍 属于 x86 系列 。 

另外 , 除 Intel 公司 之 外 ,AMD 和 Cyrix 等 厂家 也 相继 生产 出 能 使 用 x86 指令 集 的 CPU。 
由 于 这 些 CPU 能 运行 所 有 的 为 Intel CPU 所 开发 的 各 种 软件 ， 计 算 机 业内 人 士 就 将 这 些 
CPU 列 为 Intel 的 CPU 兼容 产品 。 由 于 Intel x86 系列 及 其 兼容 CPU 都 使 用 x86 指令 集 ， 
因此 就 形成 了 今天 庞大 的 x86 系列 及 兼容 CPU 阵容 。 

最 初 的 硬件 防火 墙 都 是 基于 x86 架构 。x86 架构 采用 通用 CPU 和 计算 机 工 总 线 接口 ， 
具有 很 高 的 灵活 性 和 可 扩展 性 ， 过 去 一 直 是 防火 墙 开发 的 主要 平台 。 其 具有 开发 、 设 计 门 
槛 低 ， 技 术 成 熟 等 优点 ， 曾 经 以 其 高 灵活 性 和 扩展 性 在 百 兆 防火 墙 上 获得 过 巨大 的 成 功 。 
但 是 ， 缺 陷 也 是 显而易见 的 ， 由 于 x86 架构 的 硬件 并 非 为 了 网 络 数据 传输 而 设计 ， 它 对 数 
据 包 的 转发 性 能 相对 较 弱 ， 无 法 适应 日 益 增长 的 网 络 性 能 要 求 。 

由 于 国内 安全 厂商 并 不 掌握 x86 架构 的 核心 技术 ， 其 BIOS 中 存在 着 隐藏 的 漏洞 ， 有 
可 能 影响 防火 墙 的 安全 可 靠 性 。 而 且 x86 的 产业 链条 非常 复杂 ， 国 内 厂商 在 其 中 能 发 挥 的 
影响 力 很 有 限 ， 不 利于 国内 信息 安全 产业 的 长 期 发 展 。 


6.5.2 ASIC 平台 


目前 ， 在 集成 电路 界 ASIC (Application Specific Integrated Circuit， 专 用 集成 电路 ) 被 
认为 是 一 种 为 专门 目的 而 设计 的 集成 电路 ， 是 指 应 特定 用 户 要 求 和 特定 电子 系统 的 需要 而 
设计 、 制 造 的 集成 电路 。ASIC 的 特点 是 面向 特定 用 户 的 需求 ，ASIC 在 批量 生产 时 与 通用 
集成 电路 相 比 具有 体积 更 小 、 功 耗 更 低 、 可 靠 性 提高 、 性 能 提高 、 保 密 性 增强 、 成 本 降低 

ASIC 分 为 全 定制 和 半 定 制 。 全 定制 设计 需要 设计 者 完成 所 有 电路 的 设计 ， 因 此 需要 
大 量 人 力 、 物 力 ， 灵 活性 好 ， 但 开发 效率 低下 。 如 果 设 计较 为 理想 ， 全 定制 能 够 比 半 定 制 
的 ASIC 芯片 运行 速度 更 快 。 半 定制 使 用 库 里 的 标准 逻辑 单元 ， 设 计时 可 以 从 标准 逻辑 单 
元 库 中 选择 SSI〈 门 电路 )、MSI〈 如 加 法 器 、 比 较 器 等 )、 数 据 通路 〈 如 ALU、 存 储 器 、 
总 线 等 )、 存 储 器 甚至 系统 级 模块 (如 乘法 器 、 微 控制 器 等 ) 和 了 IP 核 ， 这 些 逻 辑 单元 已 经 
布局 完毕 ， 设 计 者 可 以 较 方便 地 完成 系统 设计 。 

相 比 之 下 ，ASIC 防火 墙 通过 专门 设计 的 ASIC 芯片 逻辑 进行 硬件 加 速 处 理 。ASIC 通 
过 把 指令 或 计算 逻辑 固化 到 芯片 中 ， 获 得 了 很 高 的 处 理 能 力 ， 因 而 明显 提升 了 防火 墙 的 性 
能 。 新 一 代 的 高 可 编程 ASIC 采用 了 更 灵活 的 设计 ， 能 够 通过 软件 改变 应 用 逻辑 ， 具 有 更 
广泛 的 适应 能 力 。 但 是 ，ASIC 的 缺点 也 同样 明显 ， 它 的 灵活 性 和 扩展 性 不 够 ， 开 发 费用 
高 ， 开 发 周期 太 长 ， 一 般 耗 时 接近 两 年 。 

虽然 研发 成 本 较 高 , 灵活 性 受 限制 , 无 法 支持 太 多 的 功能 , 但 其 性 能 具有 先天 的 优势 ， 
非常 适合 应 用 于 模式 简单 、 对 吞吐 量 和 时 延 指 标 要 求 较 高 的 电信 级 大 流量 的 处 理 。 目 前 ， 
NetScreen 在 ASIC 防火 墙 领域 占有 优势 地 位 , 而 我 国 的 首 信也 推出 了 我 国 基于 自主 技术 的 
ASIC 千 兆 防火 墙 产品 。 


6.5.3 NP 平台 


根据 国际 网 络 处 理 器 会 议 的 定义 ， 网 络 处 理 器 (Network Processor，NP) 是 一 种 可 编 
程 器 件 ， 它 特定 地 应 用 于 通信 领域 的 各 种 任务 ， 如 包 处 理 、 协 议 分 析 、 路 由 查找 、 防 火 墙 、 
QoS 等 。 

网 络 处 理 器 器 件 内 部 通常 由 若干 个 微 码 处 理 器 和 若干 硬件 协 处 理 器 组 成 ， 且 多 个 微 码 
处 理 器 在 NP 内 部 并 行 处 理 ， 通 过 预先 编制 的 微 码 来 控制 处 理 流程 。 对 于 某 些 复杂 的 标准 
操作 ， 如 内 存 操作 、 路 由 表 查 找 算法 、QoS 的 拥塞 控制 算法 、 流 量 调度 算法 等 ， 则 采用 硬 
件 协 处 理 器 来 进一步 提高 处 理性 能 ， 从 而 实现 了 业务 灵活 性 和 高 性 能 的 有 机 结合 。 

目前 NP 主要 用 于 网 络 骨 干 设备 和 网 络 接 入 设备 ， 用 来 开发 从 网 络 第 2 一 第 7 层 的 各 

种 服务 和 应 用 。 目 前 采用 NP 处 理 分 组 交换 的 厂家 ， 既 有 第 一 梯队 的 网 络 公司 ， 如 思科 、 
北 电 和 朗讯 等 公司 ; 也 有 不 少 后 起 之 秀 ， 如 华为 、 中 兴 等 公司 。 
于 各 厂商 所 专注 的 NP 技术 领域 不 同 ， 决 定 了 NP 产品 之 间 的 差异 。 目 前 ， 国 内 多 
数 安 全 厂商 在 NP 技术 上 大 都 选择 了 IBM 或 Intel 的 NP 技术。 其 实 ， 具 体 选用 哪 种 NP 技 
术 开 发 防火 墙 ， 因 素 有 很 多 ， 包 括 所 选 NP 技术 的 性 能 和 成 熟 度 ， 提 供 NP 技术 的 厂商 实 
力 和 重视 程度 ， 以 及 NP 技术 厂商 可 提供 的 支持 力度 及 价格 。 

IBM 研发 的 Power NP 系列 芯片 不 仅 支持 多 线程 ， 且 每 个 线程 都 有 充足 的 指令 空间 
在 一 个 线程 里 完成 防火 墙 功能 绰绰有余 。 其 系列 产品 中 以 NP4GS3 为 代表 ， 该 芯片 最 高 端 
口 速率 可 达 OC-48 (2488.32Mb/s), 具有 4.5Mb/s 的 报 文 处 理 能 力 和 最 大 4GB 的 端口 容量 ， 
并 且 其 拥有 IBM 创新 的 带宽 分 配 技 术 (BAT)， 是 进行 下 一 代 系 统 设计 的 强大 部 件 。 而且， 
IBM 还 为 开发 者 提供 了 软件 架构 的 解决 方案 和 仿真 平台 ， 大 大 缩短 了 开发 难度 和 周期 。 目 
前 ， 已 经 有 不 少 厂 家 采用 IBM 的 芯片 开发 高 端 防火 墙 产 品 , 如 联想 网 御 于 2003 年 10 月 推 
出 了 国内 第 一 款 基 于 NP 技术 的 千 兆 线 速 防 火 墙 。2005 年 ， 在 解决 了 多 项 基于 多 NP 协同 
工作 的 技术 难题 的 基础 上 ， 联 想 网 御 成 功 推出 了 万 兆 级 的 超 性 能 防火 墙 。 

Intel 推出 的 IXP2000 系列 芯片 支持 微 码 开发 ， 在 性 能 上 有 了 长 足 的 提高 ， 如 IXP2400 
理论 上 最 多 可 支持 2.5Gb/s 的 应 用 , IXP2800 则 支持 10Gb/s 以 上 的 应 用 。 其 SDK 开发 包 一 
般 功能 十 分 齐全 ， 模 块 化 很 好 ， 便 于 开发 人 员 控 制 。 不 足 的 是 ，IXP2400 的 每 个 微 引 擎 仅 
能 存储 4kX32 位 的 指令 ,比较 适合 开发 路 由 器 和 交换 机 这 类 产品 ; IXP2800 的 每 个 微 引擎 
能 存储 8kX32 位 的 指令 , 基本 可 以 满足 防火 墙 功 能 开发 的 需要 , 但 是 由 于 其 性 能 提高 带 来 
了 产品 设计 与 应 用 复杂 度 的 成 倍 提高 ， 造 成 价格 十 分 昂贵 。 此 外 ， 该 系列 产品 的 硬件 查 表 
功能 比较 弱 ， 这 对 于 防火 墙 这 类 需要 大 量 查 表 操作 的 设备 来 讲 是 致命 的 弱点 。 

随 着 新 一 代 网 络 的 继续 发 展 ，NP 将 更 加 倚重 线 速 、 智 能 化 的 包 处 理 技术 ， 而 不 仅仅 
是 简单 的 基本 性 能 , NP 技术 的 发 展 将 直接 影响 到 NP 防火 墙 的 发 展 。 据 业内 专家 调查 分 析 ， 
NP 技术 将 向 着 更 高 的 性 能 、 更 多 功能 支持 、 多 种 技术 并 存 和 标准 化 等 特征 发 展 ， 基 于 NP 
的 防火 墙 产 品 将 随 着 NP 的 发 展 大 步 前 行 。 

近年 来 ， 网 络 的 传输 速度 每 年 翻 一 番 ， 几 年 前 的 主干 网 速度 是 1Gb/s， 现 在 已 经 到 了 
10Gb/s 甚至 提高 到 了 40Gb/s， 网 络 处 理 器 也 必须 满足 这 种 变化 。NP 性 能 的 提高 将 直接 推 
动 防火 墙 性 能 的 提高 。 

随 着 网 络 处 理 器 在 更 多 领域 中 的 应 用 ， 网 络 处 理 器 必须 具有 更 多 的 功能 支持 ， 如 深度 
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内 容 处 理 和 IPV6 协议 识别 ， 以 能 适应 防火 墙 等 安全 设备 的 需求 。 

NP 不 是 万 能 的 ， 它 并 不 会 完全 取代 通用 处 理 器 和 ASIC 在 网 络 设备 中 的 应 用 。 在 对 处 
理性 能 需求 很 高 的 高 端 设备 中 ，ASIC 仍然 具有 很 强 的 生命 力 ， 可 以 预见 的 是 ， 在 数据 层 
面 、 控 制 层 面 和 管理 层 ， 通 用 处 理 器 、NP 和 ASIC 将 各 司 其 职 ， 共 同 为 防火 墙 应 用 提供 灵 
活 的 服务 。 

总 之 ， 防 火 墙 技术 与 NP 技术 开始 紧密 地 联系 在 一 起 ，NP 技术 的 变革 将 推动 防火 墙 技 
术 向 着 更 高 性 能 、 更 多 功能 及 标准 化 的 方向 发 展 。 


6.6 ”防火 墙 关键 技术 


6.6.1 访问 控制 


访问 控制 是 策略 和 机 制 的 集合 ， 它 允许 对 限定 资源 的 授权 访问 。 它 也 可 保护 资源 ， 防 
止 那些 无 权 访 问 资源 的 用 户 恶 意 访问 或 偶然 访问 。 然 而 ， 它 无 法 阻止 被 授权 组 织 的 故意 
破坏 。 

按 用 户 身份 及 其 所 归属 的 某 预 定义 组 来 限制 用 户 对 某 些 信息 项 的 访问 ， 或 限制 对 某 些 
控制 功能 的 使 用 。 访 问 控制 通常 用 于 系统 管理 员 控制 用 户 对 服务 器 、 目 录 、 文 件 等 网 络 资 
源 的 访问 。 访 问 控制 机 制 决定 用 户 及 代表 一 定 用 户 利益 的 程序 能 做 什么 ， 以 及 做 到 什么 
程度 。 

访问 控制 是 信息 安全 保障 机 制 的 核心 内 容 ， 它 是 实现 数据 保密 性 和 完整 性 机 制 的 主要 
手段 。 它 是 对 信息 系统 资源 进行 保护 的 重要 措施 ， 也 是 计算 机 系统 中 最 重要 和 最 基础 的 安 
全 机 制 。 访 问 控制 包括 三 个 要 素 ， 即 主体 、 客 体 和 控制 策略 。 

防火 墙 上 应 用 的 访问 控制 技术 是 网 络 安全 防范 和 保护 的 主要 核心 策略 ， 它 的 主要 任务 
是 保证 网 络 资源 不 被 非法 使 用 和 访问 。 访 问 控制 规定 了 主体 对 客体 访问 的 限制 ， 并 在 身份 
识别 的 基础 上 ， 根 据 身份 对 提出 资源 访问 的 请 求 加 以 控制 。 网 络 访问 控制 技术 是 对 网 络 信 
息 系统 资源 进行 保护 的 重要 措施 ， 也 是 计算 机 系统 中 最 重要 和 最 基础 的 安全 机 制 。 


6.6.2 NAT 


NAT (网 络 地 址 转换 ) 被 广泛 应 用 于 各 种 类 型 的 Intemet 接 入 方式 和 各 种 类 型 的 网 络 
中 。 原 因 很 简单 ，NAT 不 仅 完 美 地 解决 了 IP 地 址 不 足 的 问题 ， 而 且 还 能 够 有 效 地 避免 来 
自 网 络 外 部 的 攻击 ， 隐 藏 并 保护 网 络 内 部 的 计算 机 。 

虽然 NAT 可 以 借助 于 某 些 代理 服务 器 来 实现 , 但 考虑 到 运算 成 本 和 网 络 性 能 , 很 多 时 
候 都 是 在 路 由 器 和 防火 墙 上 来 实现 。 

随 着 接 入 Interet 的 计算 机 数量 的 不 断 猛 增 ， 卫 地 址 资源 也 就 越 加 显得 捉襟见肘 。 事 
实 上 ， 除 了 中 国教 育 网 (CERNET) 外 ， 一 般 用户 几 乎 申请 不 到 整 段 的 C 类 了 瑟 地 址 。 在 其 
他 ISP 那里 ， 即 使 是 拥有 几 百 台 计 算 机 的 大 型 局 域 网 用 户 ， 当 他 们 申请 人 P 地 址 时 ， 所 分 配 
的 地 址 也 不 过 只 有 几 个 或 十 几 个 PP 地址。 显然 ， 这 样 少 的 正 地 址 根本 无 法 满足 网 络 用 户 
的 需求 ， 于 是 也 就 产生 了 NAT 技术 。 

借助 于 NAT， 私有 保留 ) 地 址 的 内 部 网 络 通过 防火 墙 发 送 数据 包 时 ， 私 有 地 址 被 转 


换 成 合法 的 瑟 地 址 ， 一 个 局 域 网 只 需 使 用 少量 IP 地 址 〈 甚 至 是 一 个 ) 即 可 实现 私有 地 址 
网 络 内 所 有 计算 机 与 Intemet 的 通信 需求 。 

NAT 将 自动 修改 卫 报头 的 源 瑟 地 址 和 目的 下 地址 ， 正 地 址 校 验 则 在 NAT 处 理 过 程 
中 自动 完成 。 有 些 应 用 程序 将 源 人 P 地 址 嵌入 到 了 P 报 文 的 数据 部 分 中 ， 所 以 还 需要 同时 对 
报 文 进行 修改 ， 以 匹配 瑟 头 中 已 经 修改 过 的 源 他 地址 ; 否则， 在 报 文 数据 分 别 柑 入 IP 地 
址 的 应 用 程序 就 不 能 正常 工作 。 

NAT 的 实现 方式 有 三 种 ， 即 静态 转换 (Static Nat)、 动 态 转换 (Dynamic Nat) 和 端口 
地 址 转换 (Port Address Translation，PAT) 。 

(1) 静态 转换 是 指 将 内 部 网 络 的 私有 卫 地 址 转换 为 公有 卫 地 址 时 ，IP 地 址 对 是 一 对 
一 的 ， 是 一 成 不 变 的 ， 某 个 私有 下 地 址 只 转换 为 某 个 公有 了 P 地 址 。 借 助 于 静态 转换 ， 可 
以 实现 外 部 网 络 对 内 部 网 络 中 某 些 特定 设备 〈 如 服务 器 ) 的 访问 。 

(2) 动态 转换 是 指 将 内 部 网 络 的 私有 了 P 地 址 转换 为 公有 卫 地 址 时 ，IP 地 址 对 是 不 确 
定 的 ， 是 随机 的 ， 所 有 被 授权 访问 上 Intemet 的 私有 IP 地 址 可 随机 转换 为 任何 指定 的 合法 
JP 地址 。 也 就 是 说 ， 只 要 指定 哪些 内 部 地 址 可 以 进行 转换 ， 以 及 用 哪些 合法 地 址 作为 外 训 
地 址 时 ， 就 可 以 进行 动态 转换 。 动 态 转换 可 以 使 用 多 个 合法 外 部 地 址 集 。 当 ISP 提供 的 合 
法 王 地 址 略 少 于 网 络 内 部 的 计算 机 数量 时 ， 可 以 采用 动态 转换 的 方式 。 

(3) 端口 地 址 转换 是 指 改变 外 出 数据 包 的 源 端口 并 进行 端口 转换 。 采 用 端口 地 址 转换 
方式 时 ， 内 部 网 络 的 所 有 主机 均 可 共享 一 个 合法 外 部 瑟 地 址 实现 对 Intemet 的 访问 ， 从 而 
可 以 最 大 限度 地 节约 IP 地 址 资源 。 同 时 又 可 隐藏 网 络 内 部 的 所 有 主机 ， 有 效 避 人 免 来 自 
Internet 的 攻击 。 因 此 ， 目 前 网 络 中 应 用 最 多 的 就 是 端口 地 址 转换 方式 。 

在 配置 网 络 地 址 转换 的 过 程 之 前 ， 首 先 必须 搞 清楚 内 部 接口 和 外 部 接口 ， 以 及 在 哪个 
外 部 接口 上 启用 NAT。 通 常情 况 下 ， 连 接 到 用 户 内 部 网 络 的 接口 是 NAT 内 部 接口 ， 而 
连接 到 外 部 网 络 (如 Intemet) 的 接口 是 NAT 外 部 接口 。 在 网 络 中 的 具体 配置 如 图 6.8 


所 示 。 
eth 
10.50. 


2: 
.10.88 
IP 报 头 ”数据 
和 


源 地 址 : 192.168.0.3 
目的 地 址 : 202.202.99.56 


Host A Host B 
192.168.0.3 192.168.0.5 数据 


flost 202.202.99.56 
Jnternet 


eth1: 
192.168.0.2 


源 地址 : 10.50.10.88 
目的 地 址 : 202.202.99.56 


内 部 网 络 


图 6.8 NAT 的 配置 


6.6.3 VPN 


可 以 把 VPN (Virtual Private Network， 虚 拟 专用 网 络 ) 理解 成 是 虚拟 出 来 的 企业 内 部 
专线 。 它 可 以 通过 加 密 的 通信 协议 在 Intemet 上 建立 一 条 位 于 不 同 地 方 的 两 个 或 多 个 企业 
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内 部 网 之 间 的 通信 线路 ， 就 好 比 是 架设 了 一 条 专线 一 样 ， 但 是 它 并 不 需要 真正 的 去 铺设 光 
缆 之 类 的 物理 线路 ， 在 网 络 中 的 实现 如 图 6.9 所 示 。 这 就 好 比 去 电信 局 申请 到 了 专线 ， 但 
是 不 用 给 铺设 线路 的 费用 ， 也 不 用 购买 路 由 器 等 硬件 设备 。VPN 技术 原 是 路 由 器 具有 的 重 
要 技术 之 一 ， 目 前 在 交换 机 、 防 火 墙 设备 或 Windows 2003 等 软件 里 也 都 支持 VPN 功能 ， 
VPN 的 核心 就 是 利用 公共 网 络 建立 虚拟 私有 网 。 

192.168.1.22 192.168.1.44 


192.168.1.11 192.168.1.33 
Www FIP MAL DNS 


VPN 客 户 端 
VPN 规 则 10.50.10.88 
Permit 10.50.10.1 
->192.168.1.1 


192.168.1.2 


202.102.10.8 


Internet > 


和 


图 6.9 VPN 的 实现 


6.7 个 人 防火 墙 


个 人 防火 墙 ， 顾名思义 是 一 种 个 人 行为 的 防范 措施 ， 这 种 防火 墙 不 需要 特定 的 网 络 设 
备 ， 只 要 在 用 户 所 使 用 的 计算 机 上 安装 软件 即 可 。 由 于 网 络 管理 者 可 以 远 距 离 地 进行 设 
置 和 管理 ， 终 端 用 户 在 使 用 时 不 必 特 别 在 意 防 火 墙 的 存在 ， 极 为 适合 小 企业 和 个 人 等 的 
使 用 。 

个 人 防火 墙 把 用 户 的 计算 机 和 公共 网 络 分 隔 开 ， 它 检查 到 达 防 火 墙 两 端的 所 有 数据 
包 ， 无 论 是 进入 还 是 发 出 ， 从 而 决定 该 拦截 这 个 包 还 是 将 其 放行 ， 是 保护 个 人 计算 机 接 入 
互联 网 的 安全 有 效 措施 。 

常见 的 个 人 防火 墙 有 天 网 防火 墙 个 人 版 、 瑞 星 个 人 防火 墙 、360 木马 防火 墙 、 费 尔 个 
人 防火 墙 、 江 民 黑 客 防 火 墙 和 金山 网 标 等 。 这 些 个 人 防火 墙 都 能 帮助 用 户 对 系统 进行 监控 
及 管理 ， 防 止 计算 机 病毒 、 流 氓 软件 等 程序 通过 网 络 进入 用 户 的 计算 机 或 在 用 户 未 知情 况 
下 向 外 部 扩散 。 这 些 软件 都 能 够 独立 运行 于 整个 系统 中 或 针对 个 别 程序 、 项 目 ， 所 以 在 使 
用 时 十 分 方便 及 实用 。 

1. 个 人 防火 墙 的 主要 功能 

(1) 网 络 数据 包 处 理 。 

个 人 防火 墙 会 检查 所 有 通过 的 信息 包 中 的 包头 信息 ， 并 按照 用 户 所 设 定 的 安全 过 滤 规 
则 过 滤 信息 包 。 如 果 防 火 墙 设 定 某 一 卫 为 危险 的 话 ， 从 这 个 地 址 而 来 的 所 有 信息 都 会 被 防 


火 墙 屏蔽 掉 。 由 此 可 见 ， 个 人 防火 墙 核心 技术 是 实现 在 Windows 操作 系统 下 的 网 络 数据 包 
拦截 。 

(2) 安全 规则 设置 。 

防火 墙 的 安全 规则 就 是 对 计算 机 所 使 用 的 局 域 网 、 互 联网 的 内 制 协议 进行 设置 ， 使 网 
络 数据 包 处 理 模 块 可 以 根据 设置 对 网 络 数据 包 进 行 处 理 ， 从 而 达到 系统 的 最 佳 安全 状态 。 
个 人 防火 墙 软件 的 安全 规则 方式 可 分 为 两 种 ， 一 种 是 定义 好 的 安全 规则 。 就 是 把 安全 规则 
定义 成 几 种 方案 ， 一 般 分 为 低 、 中 、 高 三 种 ， 这 样 不 懂 网 络 协议 的 用 户 也 可 以 根据 自己 的 
需要 灵活 的 设置 不 同 的 安全 方案 。 还 有 一 种 就 是 用 户 自 定义 的 安全 规则 。 这 需要 用 户 在 了 
解 了 网 络 协议 的 情况 下 ， 根 据 自己 的 安全 需要 对 某 个 协议 进行 单独 设置 。 

637》 目 志 5; 

日 志 是 每 个 防火 墙 软件 必 不 可 少 的 主要 功能 ， 它 记录 着 防火 墙 软件 监听 到 发 生 的 一 切 
事件 ， 如 入 侵 者 的 来 源 、 协 议 、 端 口 、 时 间 等 。 日 志 的 实现 比较 简单 ， 将 监听 到 的 事件 信 
息 写 入 文件 即 可 。 

2. 个 人 防火 墙 的 设置 

个 人 防火 墙 一 般 都 提供 普通 设置 和 高 级 设置 两 种 。 前 者 主要 是 提供 给 普通 用 户 使 用 ， 
而 后 者 则 是 提供 给 对 于 网 络 安全 有 着 相当 了 解 的 专业 级 用 户 使 用 。 究 竟 选 择 哪 一 种 取决 于 
用 户 对 自己 的 定位 。 

在 普通 设置 中 ， 个 人 防火 墙 提供 几 个 档次 选项 。 在 最 高 选项 的 时 候 ， 个 人 防火 墙 将 关 
闭 所 有 端口 的 服务 ， 其 他 人 无 法 通过 端口 的 漏洞 来 入 侵 用 户 的 计算 机 ， 而 且 就 算是 计算 机 
中 己 经 存在 有 木马 的 客户 端 程序 ， 也 不 会 受到 入 侵 者 的 控制 。 用 户 可 以 用 浏览 器 访问 
WWW, 但 无 法 使 用 QQ、MSN 等 软件 。 如 果 需 要 使 用 聊天 类 服务 , 或 者 安装 有 FTP Server、 
HTTP Server 的 话 ， 那 么 请 不 要 选择 此 选项 。 在 选择 中 档 选 项 的 时 候 ， 个 人 防火 墙 将 关闭 
所 有 TCP 端口 服务 , 但 UDP 端口 服务 还 开放 着 ,别人 无 法 通过 端口 的 漏洞 来 入 侵 计算 机 。 
这 个 选项 阻挡 了 几乎 所 有 的 蓝屏 攻击 和 信息 泄露 问题 , 而 且 不 会 影响 普通 网 络 软件 的 使 用 。 
在 选择 低档 选项 的 时 候 ， 个 人 防火 墙 阻挡 了 某 些 常用 的 蓝屏 攻击 和 信息 泄露 问题 ， 但 不 能 
够 阻挡 后 门 、 木 马 软 件 ， 所 以 不 推荐 使 用 。 如 果 是 高 级 用 户 ， 需 要 自 定义 配置 的 话 ， 则 需 
进入 高 级 设置 中 进行 配置 。 

在 高 级 设置 中 ， 个 人 防火 墙 一 般 会 提供 许多 具体 的 选项 。 考 虑 到 复杂 性 问题 ， 只 对 简 
单 常见 的 选项 进行 介绍 ， 其 他 选项 可 参考 相应 软件 的 使 用 说 明 来 进行 配置 。 

(1) 禁止 ICMP 服务 。 

关闭 时 无 法 进行 PING 的 操作 ， 即 别人 无 法 用 PING 的 方法 来 确定 用 户 计算 机 的 存在 。 
当 有 ICMP 数据 流 进入 计算 机 时 ， 除 了 正常 情况 外 ， 一 般 是 有 人 利用 专门 软件 进攻 用 户 计 
算 机 ， 这 是 一 种 在 Intemet 上 比较 常见 的 攻击 方式 之 一 ， 主 要 分 为 Flood 攻击 和 Nuke 攻击 
两 类 。ICMP Flood 攻击 通过 产生 大 量 的 ICMP 数据 流 以 消耗 计算 机 的 CPU 资源 和 网 络 的 
有 效 带 宽 ， 使 得 计算 机 服务 不 能 正常 处 理 数 据 ， 进 行 正 常 运作 。ICMP Nuke 攻击 通过 
Windows 的 内 部 安全 漏洞 ， 使 得 连接 到 互联 网 络 的 计算 机 在 遭受 攻击 的 时 候 出 现 系统 崩溃 
的 情况 ， 不 能 再 正常 运作 ， 也 就 是 常 说 的 蓝屏 炸弹 。 该 协议 对 于 普通 用 户 来 说 是 很 少 使 用 
到 的 ， 建 议 关 掉 此 功能 。 
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(2) 禁止 IGMP 服务 。 

和 ICMP 差不多 的 协议 , 除了 可 以 利用 该 协议 发 送 蓝屏 炸弹 外 , 还 会 被 后 门 软件 利用 。 
当 有 IGMP 数据 流 进入 计算 机 时 ,有 可 能 是 DDOS 的 宿主 向 计算 机 发 送 IGMP 控制 的 信息 ， 
如 果 计 算 机 上 有 DDOS 的 Slave 软件 ， 这 个 软件 在 接收 到 这 个 信息 后 将 会 对 指定 的 网 站 发 
动 攻击 ， 这 个 时 候 计 算 机 就 成 了 黑客 的 帮 有 区 | 。 

(3) 禁止 TCP 监听 服务 。 

TCP 监听 服务 关闭 时 , 计算 机 上 所 有 的 TCP 端口 服务 功能 都 将 失效 。 这 是 一 种 对 付 木 
马 客 户 端 程 序 的 有 效 方法 ， 因 为 这 些 程序 也 是 一 种 服务 程序 ， 由 于 关闭 了 TCP 端口 的 服务 
功能 ， 外 部 几乎 不 可 能 与 这 些 程序 进行 通信 。 而 且 ， 对 于 普通 用 户 来 说 ， 在 互联 网 上 只 是 
用 于 WWW 浏览 ,关闭 此 功能 不 会 影响 用 户 的 操作 。 但 要 注意 ， 如 果 计 算 机 要 执行 一 些 服 
务 程序 ， 如 FITP、HTTP 服务 时 ， 一 定 要 使 该 功能 正常 。 而 且 ， 如 果 用 户 用 ICQ 来 接收 文 
件 ， 也 一 定 要 将 该 功能 恢复 正常 ， 否 则 将 无 法 收 到 别人 的 ICQ 信息 。 另 外 ， 关 闭 了 此 功能 
后 ， 也 可 以 防止 大 部 分 的 端口 扫描 。 

(4) 禁止 UDP 监听 服务 。 

UDP 监听 服务 关闭 时 ， 计 算 机 上 所 有 的 UDP 服务 功能 都 将 失效 。 不 过 通过 UDP 方式 
进行 蓝屏 攻击 比较 少见 ， 但 有 可 能 会 被 用 来 进行 激活 木马 客户 端 程序 。 注 意 ， 如 果 用 户 使 
用 了 ICQ， 就 不 可 以 关闭 此 功能 。 

(5) 禁用 NetBIOS 协议 。 

当 有 人 在 尝试 使 用 微软 公司 网 络 共享 服务 端口 (139 端口) 连接 计算 机 时 ， 如 果 没 有 
做 好 安全 措施 ， 可 能 会 使 该 用 户 在 自身 不 知道 和 未 被 允许 的 情况 下 ， 计 算 机 里 的 私人 文件 
在 网 络 上 被 任何 人 在 任何 地 方 控制 ， 进 行 打开 、 修 改 或 删除 等 操作 。 将 NetBIOS 设置 为 失 
效 时 ， 计 算 机 上 所 有 共享 服务 功能 都 将 关闭 ， 其 他 用 户 在 资源 管理 器 中 将 看 不 到 该 用 户 计 
算 机 的 共享 资源 。 注意: 如 果 在 失效 前 ， 其 他 连接 用 户 已 经 打开 了 该 用 户 计 算 机 上 的 资源 ， 
那么 他 仍然 可 以 访问 那些 资源 ， 直 到 他 断 开 了 这 次 连接 。 建 议 : 在 局 域 网 中 打开 该 功能 ， 
在 互联 网 中 关闭 。 

3. 个 人 防火 墙 的 安全 记录 
当 运 行 了 个 人 防火 墙 并 且 想 检测 一 下 它 的 效果 的 话 ， 可 以 查看 一 下 个 人 防火 墙 的 安全 
记录 。 在 安全 记录 中 , 个 人 防火 墙 会 提供 它 所 发 现 的 所 有 进入 计算 机 的 数据 流 的 来 源 下 地 
址 、 使 用 的 协议 、 端 口 、 针 对 数据 进行 的 操作 、 时 间 等 基本 信息 。 如 果 需 要 更 为 详尽 的 解 
释 的 话 ， 可 以 双击 相应 的 记录 来 查看 详细 信息 ， 从 中 可 以 获得 大 量 的 网 络 安 全 信息 。 


课 后 习 题 


一 、 选 择 题 
1. 一 个 数据 包 过 滤 系统 被 设计 成 允许 用 户 要 求 服务 的 数据 包 进 入 ， 而 过 滤 掉 不 必要 
的 服务 。 这 属于 ( ”) 基本 原则 。 
A. 最 小 特权 B. 阻塞 点 
C. 失效 保护 状态 D. 防御 多 样 化 
2. 针对 数据 包 过 滤 和 应 用 网 关 技 术 存 在 的 缺点 而 引入 的 防火 墙 技术 是 〈 ) 防火 


墙 的 特点 。 

A. 包 过 滤 型 B. 应 用 级 网 关 型 
C. 复合 型 防火 墙 D. 代理 服务 型 

3. ( ) 不 属于 传统 防火 墙 的 类 型 。 
A. 包 过 滤 B. 远程 磁盘 镜像 技术 
C. 电路 层 网 关 D. 应 用 层 网 关 

4. 在 防火 墙 技术 中 ， 内 网 这 一 概念 通常 指 的 是 〈 % 
A. 受信 网络 B. 非 受信 网 络 
C. 防火 墙 内 的 网 络 D. 互联 网 

5，Intemet 接 入 控制 不 能 对 付 以 下 ) 入 侵 者 。 
A. 伪装 者 B. 违法 者 
C. 内 部 用 户 D. 外 部 用 户 

6. 对 网 络 层 数 据 包 进行 过 滤 和 控制 的 信息 安全 技术 机 制 是 )。 
A. 防火 墙 B. IDS 
C. Sniffer D. IPSec 

7. 下 列 不 属于 防火 墙 核心 技术 的 是 〈 入 
A. 包 过 滤 技术 B. NAT 技术 
C. 应 用 代理 技术 D. 日 志 审 计 


8. 应 用 代理 防火 墙 的 主要 优点 是 ( )。 


A. 加 密 强 度 更 高 
B. 安全 控制 更 细 化 、 更 灵活 
C. 安全 服务 的 透明 性 更 好 
D. 服务 对 象 更 广泛 
9. 防火 墙 最 主要 被 部 署 在 ) 位 置 。 


人 A， 网络 边界 B. 骨干 线路 
C. 重要 服务 器 D. 桌面 终端 


10. 下 列 关 于 防火 墙 的 错误 说 法 是 〈 
A. 防火 墙 工作 在 网 络 层 ”B. 对 了 P 


)。 
数据 包 进 行 分 析 和 过 滤 


C. 重要 的 边界 保护 机 制 ”D. 部 署 防火 墙 就 解决 了 网 络 安全 问题 


11. 防火 墙 能 够 〈 7 


A. 防范 恶意 的 知情 者 B. 防范 通过 它 的 恶意 连接 
C. 防备 新 的 网 络 安全 问题 D. 完全 防止 传送 已 被 病毒 感染 的 软件 和 文件 


12. 在 一 个 企业 网 中 ， 防 火 墙 应 该 是 〈 
保护 的 范围 。 


) 的 一 部 分 ， 构 建 防 火 墙 时 首先 要 考虑 其 


A. 安全 技术 B. 安全 设置 
C. 局 部 安全 策略 D. 全 局 安全 策略 
13. 包 过 滤 型 防火 墙 原理 上 是 基于 〈 ) 进行 分 析 的 技术 。 
A. 物理 层 B. 数据 链 路 层 
C. 网 络 层 D. 应 用 层 


房 火 硅 长 大 
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14. 


15. 


16. 
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18. 


19, 


20. 
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为 了 降低 风险 ， 不 建议 使 用 的 Intemet 服务 是 A 

A. Web 服务 B. 外 部 访问 内 部 系统 

C. 内 部 访问 Intemet D. FTP 服务 

对 DMZ 而 言 ， 正 确 的 解释 是 )。 

A. DMZ 是 一 个 真正 可 信 的 网 络 部 分 

B. DMZ 网 络 访问 控制 策略 决定 允许 或 禁止 进入 DMZ 通信 

C. 允许 外 部 用 户 访问 DMZ 系统 上 合适 的 服务 

D. 以 上 3 项 都 是 

对 动态 网 络 地 址 交换 (NAT)， 不 正确 的 说 法 是 ( 汽 

A. 将 很 多 内 部 地 址 映射 到 单个 真实 地 址 

B. 外 部 网 络 地 址 和 内 部 地 址 一 对 一 的 映射 

C. 最 多 可 有 64 000 个 同时 的 动态 NAT 连接 

D. 每 个 连接 使 用 一 个 端口 

以 下 ) 不 是 包 过 滤 防 火 墙 主要 过 滤 的 信息 。 

A. 源 卫 地址 B. 目的 卫 地 址 

C. TCP 源 端口 和 目的 端口 D. 时 间 

防火 墙 用 于 将 Intemet 和 内 部 网 络 隔离 ， 是 ( 和 

A. 防止 Intemet 火灾 的 硬件 设施 

B. 网 络 安 全 和 信息 安全 的 软件 和 硬件 设施 

C. 保护 线路 不 受 破坏 的 软件 和 硬件 设施 

D. 起 抗 电磁 干扰 作用 的 硬件 设施 

外 部 数据 包 经 过 过 滤 路 由 只 能 阻止 〈 ) 的 卫 欺 骗 。 

A. 内 部 主机 伪装 成 外 部 主机 人 P B. 内 部 主机 伪装 成 内 部 主机 人 P 

C. 外 部 主机 伪装 成 外 部 主机 人 P D. 外 部 主机 伪装 成 内 部 主机 人 P 

下 面 关于 DMZ 的 说 法 错误 的 是 〈 和 

A. 通常 DMZ 包含 允许 来 自 互 联网 的 通信 可 进入 的 设备 ， 如 Web 服务 器 、FTP 
服务 器 、SMTP 服务 器 、DNS 服务 器 等 

B. 内 部 网 络 可 以 无 限制 地 访问 外 部 网 络 DMZ 

C. DMZ 可 以 访问 内 部 网 络 

D. 有 两 个 DMZ 的 防火 墙 环境 的 典型 策略 是 主 防火 墙 采 用 NAT 方式 工作 ， 而 内 
部 防火 墙 采用 透明 模式 工作 以 减少 内 部 网 络 结构 的 复杂 程度 

包 过 滤 防 火 墙 工作 在 OSI 网 络 参考 模型 的 )。 

A. 物理 层 B. 数据 链 路 层 ”C. 网 络 层 D. 应 用 层 


. 防火 墙 提供 的 接 入 模式 不 包括 ( 。”)。 


A. 网 关 模 式 。”  ”B. 透明 模式 C. 混合 模式 D. 旁 路 接 入 模式 


、 填 空 题 
1. 新 型 防火 墙 的 设计 目标 是 既 有 


的 功能 ， 又 能 进行 代理 ， 能 从 


链 路 层 到 应 用 层 进行 全 方位 安全 处 理 。 
2. 防火墙 上 只 对 符合 安全 策略 的 通信 通过 ， 也 可 以 说 具有 性 。 


3. DMZ (Demilitarized Zone) 的 中 文 名 称 为 ， 也 称 为 
4. DMZ 在 和 之 间 构 造 了 一 个 安全 地 带 。 
5. 第 一 代 防 火 墙 是 基于 的 防火 墙 ， 第 二 代 防 火 墙 是 的 防火 墙 ， 第 
三 代 防 火 墙 是 的 防火 墙 ， 第 四 代 防 火 墙 是 的 防火 墙 。 
6. NAT 的 实现 方式 有 三 种 ， 即 和 8 
We 防火 墙 彻 底 隔 断 内 网 与 外 网 的 直接 通信 ， 内 网 用 户 对 外 网 的 访问 变 成 防 
火 墙 对 外 网 的 访问 ， 然 后 再 由 防火 墙 转发 给 内 网 用 户 。 
8. 网 络 边界 保护 中 主要 采用 ， 为 了 保证 其 有 效 发 挥 作用 ， 应 当 避 免 在 内 网 
和 外 网 之 间 存 在 不 经 过 其 控制 的 其 他 通信 连接 。 
9. 防火 墙 虽然 是 网 络 层 重要 的 安全 机 制 ， 但 是 它 对 于 
三 、 简 答题 
. 防火墙 的 主要 功能 是 什么 ? 
.防火 墙 的 基本 特性 有 哪些 ? 
.防火墙 的 主要 缺点 是 什么 ? 
. DMZ 网 络 访问 控制 策略 有 哪些 ? 
。 防火墙 的 技术 发 展 分 为 哪 几 代 ? 
.防火墙 的 种 类 有 哪些 ? 
. 包 过 滤 防 火 墙 的 工作 原理 是 什么 ? 
. 包 过 滤 技 术 的 优 缺 点 有 哪些 ? 
.状态 检测 防火 墙 的 优 缺 点 有 哪些 ? 
。 防火 墙 硬件 平台 有 哪些 种 类 ? 各 自 的 特点 是 什么 ? 
你 所 知道 的 防火 墙 品牌 有 哪些 ? 
.应 用 代理 防火 墙 怎样 工作 ? 
. 访问 控制 的 功能 主要 有 哪些 ? 
个 人 防火 墙 的 主要 功能 有 哪些 ? 
. 个 人 防火 墙 的 高 级 设置 中 可 以 禁用 哪些 功能 ? 


缺乏 保护 能 力 。 
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第 7 章 无 线 网 络 安全 


无 线 网 络 的 应 用 和 普及 是 人 类 历史 上 最 为 重要 的 科技 成 果 。 经 历 了 一 百 多 年 的 发 展 ， 
无 线 网 络 已 经 从 初期 的 单一 业务 网 络 进化 为 当前 涵盖 各 种 无 线 通 信 技 术 、 面 向 众多 应 用 行 
业 、 提 供 多 样 化 业务 的 智能 化 通信 系统 。 利 用 它 最 终 将 实现 任何 人 “Whoever) 在 任何 时 
候 (Whenever)、 任 何 地 点 (Wherever) 与 任何 人 “Whomever) 进行 任何 内 容 (Whatever) 
的 通信 。 而 在 各 种 无 线 网 络 蓬勃 发 展 的 同时 ， 它 们 所 面临 的 安全 与 隐私 问题 也 日 益 严峻 ， 
已 经 成 为 阻碍 无 线 网 络 技术 应 用 普及 的 关键 问题 。 


7.1 无 线 网 络 安全 概述 


7.1.1 无 线 网 络 的 分 类 


无 线 网 络 所 采用 的 通信 技术 、 履 盖 规 模 及 应 用 领域 各 不 相同 , 因此 存在 多 种 分 类 方法 。 
按照 网 络 组 织 形式 ， 可 分 为 有 结构 网 络 和 自 组 织 网 络 。 有 结构 网 络 具备 固定 的 通信 基础 设 
施 ， 负 责 无 线 终端 的 接 入 与 认证 ， 并 提供 网 络 服务 ， 如 无 线 蜂窝 网 和 无 线 城 域 网 等 ， 自 组 
织 网 络 按照 自发 形式 组 网 , 不 存在 统一 管理 机 制 , 各 节点 按照 分 布 式 策略 来 协同 提供 服务 ， 
包括 移动 Ad Hoc 网 络 和 传感器 网 络 。 相 比较 而 言 ， 由 于 缺乏 网 络 架构 和 统一 管理 机 制 的 
支持 ， 自 组 织 网 络 〈 尤 其 是 传感器 网 络 ) 面临 着 更 大 的 安全 与 隐私 风险 。 按 照 履 盖 范 围 、 
传输 速率 和 用 途 的 不 同 ， 无 线 网 络 又 可 以 分 为 无 线 广域网 、 无 线 城 域 网 、 无 线 局 域 网 和 无 
线 个 人 区 域 网 。 

(1) 无 线 广域网 (Wireless Wide Area Network，WWAN)。 主 要 是 指 履 盖 区 域 较 大 的 蜂 
窜 通 信和 网 络 或 卫星 通信 和 网络 ， 可 以 实现 远 距离 通信 。 代 表 技 术 有 传统 的 GSM 网 络 、GPRS 
网 络 、3G 网 络 及 4G 网 络 。 

(2) 无 线 城 域 网 (Wireless Metropolitan Area Network，WMAN)。 指 在 城市 中 通过 移 
动 电话 或 车 载 电 台 进 行 通信 的 无 线 网 络 。 它 的 服务 区 范围 高 达 50km。IEEE 为 无 线 城 域 网 
推出 了 802.16 标准 。 

(3) 无 线 局 域 网 (Wireless Local Area Networks，WLAN)。 它 是 相当 便利 的 数据 传输 
系统 ， 利 用 射频 (Radio Frequency，RF) 技术 取代 双 绞 铜 线 所 构成 的 局 域 网 络 。 

(4) 无 线 个 人 区 域 网 (Wireless Personal Area Network，WPAN)。 一 种 小 范围 无 线 网 ， 
主要 技术 是 IEEE 802.11 和 蓝牙 , 最 大 传输 距离 为 0.1 一 10m, 最 高 数据 传输 速率 为 10Mb/s。 


7.1.2 WLAN 技术 
WLAN 即 采 用 无 线 传输 介质 的 局 域 网 ， 其 主要 目的 是 弥补 有 线 局 域 网 不 便 布线 的 不 


足 ， 提 高 网 络 覆 盖 面 积 。WLAN 工作 于 2.5GHz 或 SGHz 频段 ， 是 很 便利 的 数据 传输 系统 ， 
它 利 用 射频 技术 取代 原 有 比较 碍 手 的 双 绞 铜 线 所 构成 的 局 域 有 线 网 络 ,使 得 WLAN 能 利用 
简单 的 存 取 架构 让 用 户 透 过 它 。WLAN 是 介 于 有 线 传 输 和 移动 数据 通信 网 之 间 的 一 种 技 
术 ， 可 提供 给 用 户 高 速 的 无 线 数据 通信 。 

WLAN 用 户 通过 一 个 或 多 个 无 线 接 入 器 接 入 无 线 局 域 网 。WLAN 最 通用 的 标准 是 
IEEE 定义 的 802.11 系列 标准 。 由 于 WLAN 是 基于 计算 机 网 络 与 无 线 通信 的 技术 ， 在 计算 
机 网 络 结构 中 ,逻辑 链 路 控制 层 (LLC) 及 其 之 上 的 应 用 层 对 不 同 物理 层 的 要 求 可 以 相同 ， 
也 可 以 不 同 ， 因 此 物理 层 和 媒质 访问 控制 层 是 WLAN 标准 的 主要 针对 对 象 。 在 WLAN 高 
速 发 展 的 同时 ， 众 多 厂商 和 运营 商 非常 关注 的 一 个 问题 便 是 WLAN 的 标准 ， 究 竟 WLAN 
最 终 会 采取 哪 种 技术 作为 主流 标准 直接 影响 到 企业 今后 的 决策 走向 。 目 前 的 WLAN 产品 所 
采用 的 技术 标准 主要 有 Bluetooth、HomeRF、IDA、IEEE 802.11 等 。 

1. Bluetooth 

Bluetooth 蓝牙) 是 一 个 短 距离 的 开放 性 无 线 通 信 标 准 ， 设 计 者 的 初衷 是 用 隐形 的 连 
接线 代替 线 缆 。 利 用 蓝牙 技术 能 够 有 效 地 简化 移动 通信 终端 设备 之 间 的 通信 ， 也 能 够 成 功 
地 简化 设备 与 Intemet 之 间 的 通信 ， 从 而 使 数据 传输 变 得 更 加 迅速 高 效 ， 为 无 线 通信 拓宽 
道路 。 蓝 牙 的 目标 和 宗旨 是 保持 联系 ,不 靠 电缆 ， 拒 绝 插头 ， 并 以 此 重 塑 人 们 的 生活 方式 。 
在 发 射 带宽 为 1MHz 时 ， 其 有 效 数 据 速 率 为 721kb/s， 最 高 数据 速度 可 达 1Mb/s。 由 于 采用 
低 功 率 时 分 复 用 方式 工作 发 射 ， 其 有 效 传输 距离 大 约 为 10m， 加 上 功率 放大 器 时 ， 传 输 距 
离 可 扩大 到 100m。 蓝 牙 数据 在 某 个 载 频 的 某 个 时 际 内 传输 ， 不 同类 型 数据 占用 不 同 的 信 
道 。 蓝 牙 不 仅 采 用 了 跳 频 扩 谱 的 低 功 率 传输 ， 而 且 还 使 用 鉴 权 和 加 密 等 方法 来 提升 通信 的 
安全 性 。 

蓝牙 系统 一 般 由 天 线 单元 、 链 路 控制 (固件 〉 单 元、 链 路 管理 (软件 ) 单 元 和 蓝牙 软 
件 单元 4 个 功能 单元 组 成 。 蓝 牙 技术 支持 两 种 连接 方式 ， 面 向 连接 (SCO) 方式 ， 主 要 用 
于 话音 传输 ;无 连接 (ACL) 方式 ， 主 要 用 于 分 组 数据 传输 。 

2. HomeRF 

HomeRF(Radio Frequency) 是 专门 为 家 庭 用 户 设计 的 WLAN 技术 标准 ,是 IEEE 802.11 
与 DECT 的 结合 , 旨 在 降低 语音 数据 成 本 。HomeRF 采用 FHSS (Frequency Hopping Spread 
Spectrum， 跳 频 扩 频 ) 方式 ， 可 以 同时 使 4 个 高 质量 的 语音 信道 通信 ， 可 以 使 用 TDM (时 
分 复 用 ) 进行 语音 通信 ， 也 可 以 通过 CSMA/CA 协议 进行 数据 通信 业务 。 

目前 ，HomeRF 标准 工作 频段 为 2.4GHz， 跳 频带 宽 是 1MHz， 最 大 传输 速率 是 2Mb/s。 
HomeRF 是 对 现在 的 无 线 通信 标准 的 聚合 和 提升 ， 数 据 通信 时 ， 使 用 IEEE 802.11 规范 中 
的 TCP/IP 传输 协议 ; 语音 通信 时 ， 使 用 数字 增强 型 无 线 通信 标准 。 但 是 ，HomeRF 也 存在 
一 些 问 题 ， 如 该 标准 与 802.11b 相互 不 兼容 ， 并 且 使 用 了 802.11b 与 蓝牙 相同 的 频率 段 ， 因 
此 在 使 用 范围 上 有 较 大 的 限制 ， 常 用 于 家 庭 网 络 。 

3. JIrDA 

IDA (Infrared Data Association， 红 外 线 数 据 标准 协会 ) 是 研究 无 线 传输 连接 标准 的 国 
际 非 营利 性 机 构 ,， 红 外 数据 组 织 提 出 了 利用 红外 线 进行 点 对 点 通信 的 技术 。IDA 具有 体积 
小 、 功 率 低 等 特点 ， 适 应 设备 移动 的 需求 ， 而 且 IDA 成 本 低 ， 传 输 数据 速度 快 。 在 其 他 
无 线 传输 技术 快速 发 展 的 同时 ，IDA 也 没有 于 足 不 前 。 
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IDA 的 传输 速率 由 原来 FIR 标准 (Fast Infrared) 的 4Mb/s 提高 到 最 新 VFIR 标准 
的 16Mb/s， 接 收 角度 也 由 传统 的 30° 扩展 到 120”。 然 而 ，IrDA 也 存在 一 些 缺 陷 。 首 先 ， 
IDA 是 一 种 视 距 传输 ， 传 输 过 程 中 如 果 有 障碍 物 阻挡 ， 数 据 很 容易 传输 失败 。 其 次 ， 红 外 
线 LED 是 红外 数据 组 织 设备 的 核心 部 件 ， 然 而 它 并 不 经 久 耐 用 ， 对 于 使 用 IDA rade 高 
的 设备 而 言 并 不 会 有 太 大 影响 ， 但 是 对 于 使 用 IDA 频率 很 高 的 设备 来 说 就 容易 出 现 一 
故障 。 

4. IEEE 802.11 

IEEE 802.11 是 在 无 线 局 域 网 领域 内 的 第 一 个 国际 上 被 广泛 认可 的 协议 , 其 标准 系列 有 
0 11a、802.11b、802.11d， 一 直到 802.11V。802.11 标准 的 不 断 完善 推动 着 WLAN 走向 

全 、 高 速 、 互 联 。 

IEEE 802.11b 是 无 线 局 域 网 的 一 个 标准 ,其 载波 的 频率 为 2.4GHz, 传送 速度 为 11Mb/s。 
IEEE 802.11b 是 所 有 无 线 局 域 网 标准 中 最 著名 ， 也 是 普及 最 广 的 标准 。 它 有 时 也 被 错误 地 
标 为 WiFi。 实 际 上 WiFi 是 无 线 局 域 网 联盟 (WLANA) 的 一 个 商标 ， 该 商标 仅 保 障 使 用 该 
商标 的 商品 互相 之 间 可 以 合作 ， 与 标准 本 身 实 际 上 没有 关系 。 在 2.4-GHz-ISM 频段 共有 14 
个 频 宽 为 22MHz 的 频道 可 供 使 用 。IEEE 802.11b 的 后 继 标 准 是 IEEE 802.11g， 其 传送 速度 
为 54Mb/s。 

IEEE 802.11g 于 2003 年 7 月 通过 了 第 三 种 调 变 标准 ， 其 载波 的 频率 为 2.4GHz 跟 
802.11b 相同 )， 原 始 传送 速度 为 54Mb/s， 净 传输 速度 约 为 24.7Mb/s( 跟 802.11a 相同 )。 
802.11g 的 设备 与 802.11b 兼容 。802.11g 是 为 了 更 高 的 传输 速率 而 制定 的 标准 ， 它 采用 
2.4GHz 频段 ， 使 用 CCK 技术 与 802.11b 后 向 兼容 ， 同 时 它 又 通过 采用 OFDM 技术 支持 高 
达 54Mb/s 的 数据 流 ， 所 提供 的 带宽 是 802.11a 的 1.5 倍 。 从 802.11b 到 802.11g， 可 以 发 现 
WLAN 标准 不 断 发 展 的 轨迹 : 802.1lb 是 所 有 WLAN 标准 演进 的 基石 ， 未 来 许多 的 系统 大 
都 需要 与 802.11b 后 向 兼容 ，802.11a 是 一 个 非 全 球 性 的 标准 ， 与 802.11b 后 向 不 兼容 ， 但 
采用 OFDM 技术 ， 支 持 的 数据 流 高 达 54Mb/s， 提 供 几 倍 于 802.11b/g 的 高 速 信道 ， 如 
802.11b/g 提供 非 重 倒 信 道 可 达 8 一 12 个 。 可 以 看 出 ,在 802.11g 和 802.11a 之 间 存 在 与 WiFi 
兼容 性 上 的 差距 ,为 此 出 现 了 一 种 桥接 此 差距 的 双 频 技术 一 一 双 模 (Dual Band) 802.11a+g 
C=b), 它 较 好 地 融合 了 802.11a/g 技术 , 工作 在 2.4GHz 和 5GHz 两 个 频段 , 服从 802.11b/g/a 
等 标准 ， 与 802.11b 后 向 兼容 ， 使 用 户 简单 连接 到 现 有 或 未 来 的 802.11 网 络 成 为 可 能 。 

总 的 来 讲 ，IEEE 802. 11 系列 标准 比较 适 于 办 公 室 中 的 企业 无 线 网 络 ，HomeRF 较 适 
用 于 家 庭 中 移动 数据 /语音 设备 之 间 的 通信 , 而 蓝牙 技术 则 可 以 应 用 于 任何 可 以 用 无 线 方式 
替代 线 费 的 场合 。 目 前 这 些 技术 还 处 于 并 存 状态 ， 从 长 远 看 ， 随 着 产品 与 市 场 的 不 断 发 展 ， 
它们 将 走向 融合 。 表 7.1 是 以 上 几 种 技术 的 对 比 。 


表 7.1 常用 无 线 技术 对 比 


技术 最 大 数据 速率 范围 半径 〈 米 ) 成 本 话音 网 络 数据 网 络 
IEEE 802.11b 11Mb/s 100~300 高 支持 支持 
蓝牙 1Mb/s 10~100 - 般 支持 支持 
HomeRF 11Mb/s 50 - 般 支持 支持 
IDA 16Mb/s 2 - 般 不 支持 支持 


7.1.3 无 线 网 络 存在 的 安全 隐患 


随 着 计算 机 无 线 网 络 的 普及 ， 计 算 机 无 线 网 络 的 实际 应 用 中 存在 着 各 式 各 样 的 安全 隐 
患 ， 这 些 安全 隐患 严重 地 影响 了 人 们 对 无 线 网 络 的 应 用 和 信任 ， 给 人 们 的 生活 、 学 习 带 来 
阻碍 。 下 面具 体 分 析 计 算 机 无 线 网 络 中 存在 的 安全 隐患 。 

1. 在 无 线 网 络 具体 应 用 中 存在 假冒 攻击 的 隐患 

假冒 攻击 是 计算 机 无 线 网 络 的 应 用 中 存在 的 一 大 安全 隐患。 假冒 攻击 指 的 是 某 个 实体 
假装 变 成 无 线 网 络 供 另 一 个 实体 进行 访问 。 假 冒 攻击 是 用 来 对 某 个 安全 防线 入 侵 最 常用 的 
方法 ， 会 导致 在 无 线 信道 中 进行 传输 的 身份 信息 随时 遭遇 和 窃听 的 危险 。 

2. 在 无 线 网 络 具体 应 用 中 存在 无 线 窃 听 的 隐患 
于 人 们 所 应 用 的 计算 机 无 线 网 络 中 所 有 的 通信 内 容 都 是 由 无 线 信道 传送 出 去 的 ， 这 
便 造成 这 样 一 个 现象 ; 只 要 具有 正确 无 线 设备 ， 所 有 具备 相应 设备 的 人 都 能 从 无 线 网 络 的 
无 线 信道 所 传送 的 信息 中 获取 自己 所 需 的 信息 ， 因 此 导致 无 线 网 络 存在 无 线 窃 听 的 隐患 。 
由 于 无 线 局 域 网 是 为 全 球 统一 公开 的 工业 、 医 疗 及 科学 行业 服务 的 ， 因 此 无 线 局 域 网 中 的 
通信 内 容 最 容易 被 窃听 。 虽 然 无 线 局 域 网 所 具有 的 通信 设备 的 发 射 功 率 并 不 是 很 高 ， 但 无 
线 局 域 网 所 具备 的 通信 距离 却 有 限 。 

3. 在 无 线 网 络 具体 应 用 中 存在 信息 自 改 的 隐患 

信息 算 改 是 无 线 网 络 应 用 中 最 主要 的 安全 隐患 。 所 谓 信 息 算 改 指 的 是 攻击 者 把 自己 所 
窃听 到 的 全 部 信息 或 部 分 信息 进行 修改 或 删除 等 行为 。 另 外 ， 信 息 自 改 者 还 会 把 篡改 过 的 
信息 发 送 给 原本 该 接收 此 信息 的 人 。 进 行 信息 自 改 只 有 两 个 目的 : 一 是 恶意 破坏 合法 用 户 
间 的 通信 和 内容， 阻止 合法 用 户 建立 通信 连接 ， 二 是 攻击 者 把 自己 算 改 过 的 信息 发 送 给 原本 
的 信息 接收 者 ， 从 而 致使 接收 者 上 当 。 

4. 在 无 线 网 络 具体 应 用 中 存在 重 传 攻击 的 隐患 
重 传 攻击 指 的 是 计算 机 无 线 网 络 的 攻击 者 在 窃听 到 信息 一 段 时 间 后 才 把 窃听 到 的 信 
息 发 送 给 原本 该 接收 此 信息 的 人 。 重 传 攻击 的 主要 目的 是 对 曾经 的 有 效 信息 在 失效 的 情况 
下 加 以 利用 ， 从 而 达到 攻击 的 目的 。 

S. 在 无 线 网 络 具体 应 用 中 存在 非法 用 户 接 入 的 隐患 

所 有 的 Windows 操作 系统 大 多 具备 自动 查找 无 线 网 络 这 个 功能 , 因此 对 于 那些 安全 级 
别 低 或 是 不 设防 的 无 线 网 络 ， 只 要 黑客 或 未 授权 用 户 对 无 线 网 络 有 一 般 的 基本 认识 ， 就 能 
利用 最 普通 的 攻击 或 借助 一 些 攻 击 工 具 来 发 现 和 接 入 到 无 线 网 络 。 一 旦 有 非法 用 户 接 入 网 
络 ， 不 仅 会 占用 其 他 合法 用 户 的 带宽 ， 而 且 有 些 非法 用 户 还 会 恶意 的 更 改 无 线 网 络 的 路 由 
器 设置 ， 从 而 造成 合法 用 户 无 法 接 入 无 线 网 络 的 现象 ， 更 有 甚 者 还 会 入 侵 他 人 计算 机 窃取 
合法 用 户 的 相关 信息 。 

6. 在 无 线 网 络 具体 应 用 中 存在 非法 接 入 点 的 隐患 
于 无 线 局 域 网 具有 配置 简单 和 访问 简便 的 特点 ， 因 此 导致 任何 用 户 的 计算 机 都 能 利 
用 自己 的 AP， 不 经 授权 的 接 入 网 络 。 例 如 为 了 使 用 方便 ， 有 些 企业 员工 常常 会 自己 购买 
AP,， 不 经 允许 就 接 入 无 线 网 络 ， 这 就 是 非法 接 入 点 ， 并 且 这 些 非 法 接 入 点 只 要 是 在 无 线 信 
号 覆盖 的 范围 内 ， 都 能 进入 或 连接 企业 网 络 ， 从 而 给 企业 带 来 巨大 的 安全 风险 。 
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7.1.4 无 线 网 络 安全 的 关键 技术 
人 


多 不 学 科 的 交 又 ， 忆 括 冤 明 管 理 、 当 大 障 直 。 关 梳 检 等 放 技术 者 半 要 深 大 的 台 究 ， 其 
中 ， 机 密 性 保护 、 安 全 重 编程 、 用 户 认 证 、 信 任 管理 、 网 络 安全 通信 架构 是 影响 无 线 网 络 
成 功 实施 的 最 为 关键 的 安全 技术 ， 是 许多 安全 业务 的 基础 。 

1. 机 密 性 保护 

无 线 网 络 在 实际 应 用 过 程 中 面临 着 严重 的 信息 泄露 或 被 算 改 的 危险 。 例 如 ， 在 移动 通 
信和 领域 ,手机 通信 信息 可 能 被 泄露 ; 在 军事 领域 , 无 线 传感器 被 部 署 在 重要 区 域 进行 监测 ， 
其 收集 的 数据 往往 携带 重要 情报 信息 ， 如 果 数 据 被 泄露 或 被 算 改 将 带 来 严重 威胁 或 决策 失 
误 ; 在 医疗 检测 领域 ， 使 用 无 线 传感器 对 病人 的 心率 、 血 压 等 重要 特征 数据 进行 收集 分 析 
时 ， 这 些 敏 感 信息 可 能 被 泄露 。 无 线 网 络 中 数据 泄露 的 威胁 将 严重 影响 无 线 网 络 的 应 用 发 
展 。 因 此 ， 研 究 和 解决 机 密 性 保护 问题 对 无 线 网 络 的 大 规模 应 用 具有 重要 意义 。 保 证 数据 
的 机 密 性 可 以 通过 WEP、TKIP 或 VPN 来 实现 。WEP 提供 了 机 密 性 ， 但 是 这 种 算法 很 容 
易 被 破解 。 而 TKIP 使 用 了 更 强 的 加 密 规 则 ， 可 以 提供 更 好 的 机 密 性 。 

2， 安全 重 编程 
重 编程 指 的 是 通过 无 线 信道 对 整个 网 络 进行 代码 镜像 分 发 并 完成 代码 安装 ， 这 是 解决 
无 线 网 络 管理 和 维护 的 有 效 途径 。 因 为 无 线 网 络 通常 布 署 在 广阔 并 且 环 境 恶 劣 的 地 方 ， 如 
战场 ， 攻 击 者 可 以 利用 重 编程 机 制 的 漏洞 发 起 一 系列 的 攻击 。 例 如 ， 敌 方 可 以 通过 注入 伪 
造 的 代码 镜像 获取 整个 网 络 的 控制 权 。 安 全 重 编程 技术 主要 解决 无 线 网 络 中 代码 更 新 的 验 
证 问题 ， 其 目的 在 于 防止 恶意 代码 的 传播 和 安装 。 因 此 ， 安 全 重 编程 一 直 是 一 个 研究 热点 。 

3. 用 户 认证 

为 了 让 具有 合法 身份 的 用 户 加 入 到 网 络 并 获取 其 预订 的 服务 ， 同 时 能 够 阻止 非法 用 户 
获取 网 络 数据 ， 确 保 无 线 网 络 的 外 部 安全 ， 要 求 网 络 必须 采用 用 户 认 证 机 制 来 检验 用 户 身 
份 的 合法 性 。 用 户 认 证 是 一 种 最 重要 的 安全 业务 ， 在 某 种 程度 上 所 有 其 他 安全 业务 均 依 赖 
于 名 5 

对 于 无 线 网 络 的 认证 可 以 是 基于 设备 的 ， 通 过 共享 的 WEP 密 钥 来 实现 。 它 也 可 以 是 
基于 用 户 的 ， 使 用 EAP 来 实现 。 无 线 EAP 认证 可 以 通过 多 种 方式 来 实现 ， 如 EAP-TLS、 
EAP-TTLS、LEAP 和 PEAP。 在 无 线 网 络 中 ， 设 备 认证 和 用 户 认证 都 应 该 实施 ， 以 确保 最 
有 效 的 网 络 安全 性 。 用 户 认 证 信息 应 该 通过 安全 隧道 传输 ， 从 而 保证 用 户 认证 信息 交换 是 
加 密 的 。 因 此 ， 对 于 所 有 的 网 络 环境 ， 如 果 设 备 支 持 ， 最 好 使 用 EAP-TTLS 或 PEAP。 

4. 信任 管理 

作为 对 基于 密码 技术 的 安全 手段 的 重要 补充 ， 信 任 管理 在 抵御 无 线 网 络 中 的 内 部 攻 
击 ， 鉴 别 恶 意 节点 和 自私 节点 ， 提 高 系统 安全 性 、 公 平 性 、 可 靠 性 等 方面 有 着 显著 的 优势 。 
以 信任 计算 模型 为 核心 的 信任 管理 尤其 对 于 没有 构建 网 络 基础 设施 的 自 组 织 网 络 来 说 ， 提 
供 了 一 种 新 的 有 效 的 安全 解决 方案 。 

5. 网 络 安全 通信 架构 

网 络 通信 架构 包括 网 络 接 入 协议 及 多 种 网 络 通信 协 议 。 无 线 网 络 应 用 领域 多 样 性 决定 


了 其 构成 的 复杂 性 。 建 设 安全 的 无 线 网 络 离 不 开 安 全 的 网 络 通信 架构 。 
7.2 WLAN 安全 


由 于 无 线 媒 体 的 开放 性 ， 窃 听 是 无 线 通信 常见 的 问题 ， 使 得 无 线 网 络 的 安全 性 比 有 线 
网 络 更 受到 关注 。 有 线 网 络 在 一 定 程度 上 通过 物理 的 方式 限制 对 网 络 的 访问 。 但 是 ， 如 果 
没有 慎重 对 待 WLAN 安全 问题 ， 入 侵 者 便 可 以 通过 监听 无 线 网 络 数据 来 获得 未 授权 的 访 
问 。 大 多 数 WiFi 认证 的 802.11 ab/g 无 线 网 络 设备 提供 WEP、WPA/WPA2 加 密 。 随 着 WwWLAN 
技术 的 快速 发 展 ， 无 线 局 域 网 市 场 、 服 务 和 应 用 的 增长 速度 非常 惊人 ， 各 级 组 织 在 选用 
WLAN 产品 时 如 何 使 用 安全 技术 手段 来 保护 WLAN 中 传输 的 数据 ， 特 别 是 重要 数据 的 安 
全 是 非常 值得 考虑 的 问题 ， 必 须 确保 数据 安全 性 。 

网 络 的 安全 性 主要 体现 在 两 个 方面 : 数据 加 密 ， 确 保 传 送 的 数据 只 能 被 指定 的 用 户 所 
接收 访问 控制 ， 保 证 敏感 数据 只 能 由 授权 用 户 进行 访问 。 


7.2.1 WLAN 的 访问 控制 技术 


无 线 局 域 网 具有 的 诸多 优势 显而易见 ， 但 无 线 局 域 网 以 无 线 电 波 为 介质 传输 数据 ， 传 
输 范 围 易 控制 ， 为 窃听 者 提供 了 可 乘 之 机 。 因 此 ， 应 该 充分 考虑 其 安全 性 ， 采 用 各 种 可 能 
的 安全 技术 。 

1. SSID 

SSID 〈 服 务 集 标识 符 ) 技术 可 将 一 个 WLAN 分 为 若干 子 网 ， 这 些 子 网 必须 经 过 独立 
的 不 同 的 身份 验证 ， 只 有 通过 身份 验证 的 用 户 才 有 接 入 目标 子 网 的 权限 。SSID 是 相 邻 的 
AP 无线 接 入 点 ) 的 区 分 标示 ， 无 线 接 入 用 户 必 须 设 定 服务 集 标识 符 才 能 和 AP 通信 。 尝 
试 连接 到 无 线 网 络 的 系统 在 被 允许 进入 之 前 必须 提供 SSID， 这 是 唯一 标识 网 络 的 字符 串 。 
如 果 出 示 的 SSID 与 AP 的 SSID 不 同 ， 则 AP 将 拒绝 他 通过 本 服务 器 上 网 。 因 此 ，SSID 是 
一 个 简单 的 口令 ， 从 而 提供 口令 认证 机 制 ， 实 现 一 定 的 安全 保障 。 但 是 ，SSID 对 于 网 络 中 
所 有 用 户 都 是 相同 的 字符 串 ， 可 以 从 每 个 信息 包 的 明文 里 窃取 到 它 ， 因 此 存在 一 定 的 安全 
漏洞 。 

2. MAC 

MAC (Media Access Control， 媒 体 访 问 控制 ) 用 来 标识 网 络 中 独一无二 的 物理 地 址 。 
在 WLAN 网 络 里 , 可 以 把 其 当 作客 户 访问 控制 的 源 地 址 来 使 用 。 因 为 每 一 个 网 卡 都 有 唯一 
的 物理 地 址 与 其 对 应 ， 使 用 媒体 访问 控制 技术 可 在 无 线 局 域 网 的 每 个 接 入 点 加 入 一 张 有 接 
入 权限 的 用 户 的 MAC 地 址 列表 ， 在 请 求 接 入 目标 网 络 时 ， 如 果 MAC 地 址 不 属于 列表 清 
单 ， 接 入 点 将 不 允许 其 接 入 。 虽 然 没 有 在 802.11 标准 里 得 到 定义 ， 大 多 数 无 线 设备 制造 商 
都 给 它们 的 产品 增加 了 基于 MAC 地 址 的 访问 控制 机 制 ， 以 弥补 802.11 与 生 俱 来 的 安全 弱 
点 。 在 使 用 这 类 机 制 的 时 候 ， 网 络 管理 员 需 要 定义 一 个 允许 接 入 的 客户 MAC 地 址 表 ， 只 
有 MAC 地 址 被 列 在 这 个 表 里 的 客户 系统 才 人 允许 与 相应 的 接 入 点 建立 连接 。 这 对 小 型 无 线 
网 络 来 说 还 算得 上 是 一 种 灵活 的 访问 控制 机 制 ， 但 因为 它 需 要 网 络 管理 员 追 踪 所 有 无 线 客 
户 的 MAC 地址 ， 在 大 型 网 络 上 就 会 是 一 种 负担 了 。 

MAC 地 址 并 不 能 提供 一 种 良好 的 安防 机 制 ， 因 为 它 很 容易 被 探测 和 复制 。 攻 击 者 只 
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需 简单 地 监控 目标 网 络 并 等 到 某 位 合法 用 户 成 功 地 与 接 入 点 建立 连接 ， 就 可 以 把 他 自己 的 
MAC 地 址 修改 成 与 那 位 合法 用 户 相 匹配 的 MAC 地 址 。 

3. 端口 访问 控制 

端口 访问 控制 技术 (802.1x) 是 由 IEEE 定义 的 , 用 于 以 太 网 和 无 线 局 域 网 中 的 端口 访 
问 与 控制 。802.1x 引入 了 PPP (Point-to-Point Protocol) 定义 的 扩展 认证 协议 Extensible 
Authentication Protocol，EAP)， 这 些 协议 增强 了 网 络 的 安全 性 。 当 无 线 工 作 站 与 接 入 点 关 
联 后 ，802.1x 的 认证 结果 决定 了 可 否 使 用 接 入 点 提供 的 服务 。 如 果 认 证 通过 ， 该 用 户 可 以 
接 入 网 络 ， 如 果 认 证 失败 ， 则 不 允许 用 户 接 入 网 络 。802.1x 不 仅 具 有 端口 访问 控制 能 力 ， 
而 且 还 具有 基于 用 户 的 计 费 和 认证 系统 功能 ,比较 适用 于 无 线 接 入 解决 方案 。 但 是 , 802.1x 
只 使 用 用 户 名 和 口令 作为 用 户 认 证 参考 , 而 用 户 名 和 口令 在 使 用 或 认证 过 程 中 可 能 会 泄漏 ， 
具有 不 安全 的 因素 ， 而 且 无 线 接 入 点 与 服务 器 中 间 采 用 共享 密 钥 进行 认证 ， 这 些 共 享 密 钥 
属于 静态 手工 管理 ， 这 种 情况 使 得 它 的 安全 隐患 更 为 严重 。 


7.2.2 WLAN 的 数据 加 密 技 术 


目前 常用 的 加 密 方式 有 WEP、WPA、WAPI。 

1. WEP 

WEP (Wired Equivalent Privacy， 有 线 等 效 保密 ) 协议 可 以 保护 无 线 局 域 网 链 路 层 数据 
安全 。WEP 使 用 64 位 或 128 位 密 钥 ,使 用 RC4 对 称 加 密 算法 对 链 路 层 数据 进行 加 密 ， 从 
而 防止 非 授权 用 户 的 监听 及 非法 用 户 的 访问 。 有 线 等 效 保密 协议 加 密 时 采用 的 密 钥 是 静态 
的 , 各 无 线 局 域 网 终端 接 入 网 络 时 使 用 的 密 钥 是 一 样 的 。 有 线 等 效 保密 协议 具有 认证 功能 ， 
当 WEP 加 密 启 用 后 ， 客 户 端 要 连接 到 接 入 点 时 ，AP 会 发 出 一 个 Challenge Packet 给 客户 
端 ， 客 户 端 再 利用 共享 密 钥 将 此 值 加 密 后 送 回 存 取 点 以 进行 认证 比 对 ， 只 有 正确 无 误 才能 
获准 存 取 网 络 的 资源 。 无 线 对 等 保密 是 802.11 标准 下 定义 的 一 种 安全 机 制 ， 设 计 用 于 保护 
无 线 局 域 网 接 入 点 和 网 卡 之 间 通 过 空气 进行 的 传输 .虽然 WEP 提供 了 64 位 或 128 位 密 钥 ， 
但 是 它 仍然 有 具有 很 多 漏洞 ， 因 为 用 户 共 享 密 钥 ， 当 有 一 个 用 户 泄漏 密 钥 ， 将 会 对 整个 网 络 
的 安全 性 构成 很 大 的 威胁 。 而 且 由 于 WEP 加 密 被 发 现 有 安全 缺陷 ， 可 以 在 几 分 钟 内 被 破 
解 ， 因 此 现在 的 WEP 已 经 不 再 是 WLAN 加 密 的 主流 方式 。 

2. WPA 

WPA (WiFi Protected Access，WiFi 保护 性 接 入 ) 是 继承 了 WEP 基本 原理 而 又 解决 了 
WEP 缺点 的 一 种 新 技术 。WPA 的 核心 是 IEEE 802.1x 和 TKIP (临时 密 钥 完整 性 协议 )， 它 
属于 IEEE 802.11i 的 一 个 子 集 。WPA 协议 使 用 新 的 加 密 算法 和 用 户 认 证 机 制 ， 强 化 了 生成 
密 钥 的 算法 ， 即 使 有 不 法 分 子 对 采集 到 的 分 组 信息 深入 分 析 也 于 事 无 补 ，WPA 协议 在 一 定 
程度 上 解决 了 WEP 破解 容易 的 缺陷 .而 WPA2 是 WiFi 联 盟 发 布 的 第 二 代 WPA 标准 。WPA2 
与 后 来 发 布 的 802.11i 具有 类 似 的 特性 , 它们 最 重要 的 共性 是 预 验证 , 即 在 用 户 对 延迟 毫 无 
察觉 的 情况 下 实现 安全 快速 漫游 ， 同 时 采用 CCMP 加 密 包 来 替代 TKIP。WPA2 实现 了 完 
整 的 标准 ， 但 不 能 用 在 某 些 古 老 的 网 卡 上 。 这 两 个 协议 都 提供 优良 的 安全 能 力 ， 但 也 都 有 
两 个 明显 的 问题 : 

(1) WPA 或 WPA2 一 定 要 启动 并 且 被 选 来 代 蔡 WEP 才 有 用 ， 但 是 大 部 分 的 安装 指引 
都 把 WEP 列 为 第 一 选择 。 


(2) 在 家 中 和 小 型 办 公 室 中 选用 “个 人 ”模式 时 ， 为 了 安全 的 完整 性 ， 所 需 的 密 钥 一 
定 要 比 6 一 8 个 字符 的 密码 还 长 。 

WPA 加 密 方式 目前 有 4 种 认证 方式 : WPA、WPA-PSK、WPA2 和 WPA2-PSK。 采 用 
的 加 密 算法 有 两 种 : AES 和 TKIP。 

。 WPA: WPA 加 强 了 生成 加 密 密 钥 的 算法 ， 因 此 即便 收集 到 分 组 信息 并 对 其 进行 解 

析 ， 也 几乎 无 法 计算 出 通用 密 钥 。WPA 中 还 增加 了 防止 数据 中 途 被 算 改 的 功能 和 
认证 功能 。 

。 WPA-PSK: WPA-PSK 适用 于 个 人 或 普通 家 庭 网 络 ， 使 用 预先 共享 密 铀 ， 密 钥 设置 

的 密码 越 长 ， 安 全 性 越 高 。WPA-PSK 只 能 使 用 TKIP 加 密 方式 。 
。 WPA2: WPA2 是 WPA 的 增强 型 版 本 ， 与 WPA 相 比 ，WPA2 新 增 了 支持 AES 的 加 
密 方式 取代 了 以 往 的 RC4 算法 。 

。 WPA2-PSK: 与 WPA-PSK 类 似 , 适用 于 个 人 或 普通 家 庭 网 络 ， 使 用 预先 共享 密 钥 ， 

支持 TKIP 和 AES 两 种 加 密 方式 。 

一 般 在 家 庭 无 线路 由 器 设置 页 面 上 选择 使 用 WPA-PSK 或 WPA2-PSK 认证 类 型 即 可 ， 
对 应 设置 的 共享 密码 尽 可 能 长 些 ， 并 且 在 经 过 一 段 时 间 之 后 更 换 共享 密码 ， 确 保 家 庭 无 线 
网 络 的 安全 。 

3. WAPI 

WAPI (Wireless Authentication and Privacy Infrastructure， 无 线 局 域 网 鉴别 与 保密 基础 
结构 ) 是 于 2003 年 在 中 国 WLAN 国家 标准 GB15629.11 中 提出 的 针对 有 线 等 效 保密 协议 
安全 问题 的 无 线 局 域 网 安全 处 理 方案 。 这 个 方案 已 经 经 过 IEEE 注册 机 构 严 格 审核 ， 并 最 
终 取 得 IEEE 注册 机 构 的 认可 ， 分 配 了 用 于 WAPI 协议 的 以 太 类 型 字段 ， 这 也 是 我 国 目前 
在 该 领域 唯一 获得 批准 的 协议 ， 同 时 也 是 中 国 无 线 局 域 网 安全 强制 性 标准 。 

与 WiFi 的 单 向 加 密 认证 不 同 ，WAPI 双向 均 认 证 ， 从 而 保证 传输 的 安全 性 。WAPI 安 
全 系统 采用 公 钥 密码 技术 ， 鉴 权 服 务 器 AS 负责 证 书 的 颁发 、 验 证 与 吊销 等 ， 无 线 客户 端 
与 无 线 接 入 点 上 都 安装 有 AS 颁发 的 公 钥 证 书 作 为 自己 的 数字 身份 凭证 。 当 无 线 客户 端 登 
录 至 无 线 接 入 点 时 ， 在 访问 网 络 之 前 必须 通过 AS 对 双方 进行 身份 验证 。 根 据 验 证 的 结果 ， 
持 有 合法 证 书 的 移动 终端 才能 接 入 持 有 合法 证 书 的 无 线 接 入 点 。 

2013 年 ， 斯 诺 登 曝光 了 美国 棱镜 门 事件 ， 同 时 也 披露 了 美国 包括 NSA、 国 土 安全 部 、 
FBI、CIA 在 内 的 十 余 家 情报 机 构 ， 通 过 与 美国 标准 制定 机 构 长 期 合作 ， 将 有 明显 技术 缺 
陷 的 密码 算法 和 安全 机 制 方案 埋 入 其 主导 并 参与 的 国际 标准 ， 从 而 实施 全 球 网 络 监 控 计 划 
的 技术 标准 控制 路 径 。 这 为 各 国 的 网 络 与 信息 安全 敲 响 了 和 警钟， 各 国都 开始 重新 审视 WiFi 
安全 性 和 美国 阻击 WAPI 的 真实 用 心 ， 这 也 成 为 WAPI 重 获 新 生 的 机 遇 。 

对 于 个 人 用 户 而 言 ，WAPI 的 出 现 最 大 的 受益 就 是 让 自己 的 笔记 本 计算 机 从 此 更 加 安 
全 。 我 们 知道 ， 无 线 局 域 网 传输 速度 快 ， 履 盖 范 围 广 ， 因 此 它 在 安全 方面 非常 脆弱 。 因 为 
数据 在 传输 的 过 程 中 都 暴露 在 空中 ， 很 容易 被 别有用心 的 人 截取 数据 包 。 虽 然 3COM、 安 
奈 特 等 国外 厂商 都 针对 802.11 制定 了 一 系列 的 安全 解决 方案 ， 但 总 的 来 说 并 不 尽 人 意 ， 而 
且 其 核心 技术 掌握 在 别 国 人 手中 ， 他 们 既然 能 制定 就 一 定 有 办 法 破解 ， 所 以 在 安全 方面 成 
了 政府 和 商业 用 户 使 用 WLAN 的 一 大 隐患 。WiFi 加 密 技 术 经 历 了 WEP、WPA、WPA2 的 
演化 ， 每 一 次 都 极 大 地 提高 了 安全 性 和 破解 难度 ， 然 而 由 于 其 单 向 认证 的 缺陷 ， 这 些 加 密 
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技术 均 已 经 被 破解 并 公布 。WPA 于 2008 年 被 破解 ，WPA2 则 于 2010 年 上 半年 被 黑客 破解 
并 在 网 上 公布 。 

而 WAPI 由 于 采用 了 更 加 合理 的 双向 认证 加 密 技 术 ， 比 802.11 更 为 先进 ，WAPI 采用 
国家 密码 管理 委员 会 办 公 室 批准 的 公开 密 钥 体制 的 椭圆 曲线 密码 算法 和 对 称 密 钥 体 制 的 分 
组 密码 算法 ， 实 现 了 设备 的 身份 鉴别 、 链 路 验证 、 访 问 控制 和 用 户 信息 在 无 线 传输 状态 下 
的 加 密 保 护 。 此 外 ，WAPI 从 应 用 模式 上 分 为 单 点 式 和 集中 式 两 种 ， 可 以 彻底 扭转 目前 
WLAN 采用 多 种 安全 机 制 并 存 且 互 不 兼容 的 现状 ， 从 根本 上 解决 了 安全 问题 和 兼容 性 问 
题 。 所 以 我 国 强制 性 地 要 求 相 关 商 业 机 构 执 行 WAPI 标准 能 更 有 效 地 保护 数据 的 安全 。 


7.2.3 WAPI 与 WiFi 的 竞争 


WAPI 是 中 国 自 主 研发 的 , 拥有 自主 知识 产权 的 无 线 局 域 网 安全 技术 标准 。 相 比 WiFi， 
对 于 用 户 而 言 WAPI 可 以 使 笔记 本 计算 机 及 其 他 终端 产品 更 加 安全 。WAPI 的 安全 性 虽然 
获得 了 包括 美国 在 内 的 国际 上 的 认可 ， 但 是 一 直 都 受到 WiFi 联盟 商业 上 的 封锁 ， 一 
称 技 术 被 中 国 掌握 不 安全 ， 所 谓 的 中 国威 胁 论 ; 二 是 宣称 与 现 有 WiFi 设备 不 兼容 。 由 于 
美国 的 阻击 ，WiFi 已 主导 市 场 。 

市 面 上 单纯 应 用 WAPI 安全 协议 标准 的 产品 很 少 ， 无 线路 由 器 暂时 没有 ， 笔 记 本 计算 
机 只 有 联想 、 索 尼 和 方正 曾经 推出 过 。 在 实际 操作 中 ，WAPI 一 直 处 于 未 采用 、 边 缘 化 的 
状态 。 实 际 上 无 线 设 备 是 可 以 同时 支持 WiFi 和 WAPI 标准 的 ， 只 需要 软件 上 添加 WAPI 
证 书 就 可 以 了 ， 不 存在 硬件 成 本 或 者 所 谓 的 分 裂 整 个 无 线 世界 的 问题 。 而 采用 有 严重 缺陷 
的 WiFi 标准 建设 将 使 国家 公共 基础 设施 网 络 存在 极 大 的 安全 隐患 和 公共 信息 安全 问题 。 

早 在 2006 年 ， 著 名 电信 和 专家、 北京 邮电 大 学 教授 阐 凯 力 就 表示 ，WAPI 与 WiFi 的 唯 
一 区 别 就 是 在 认证 保密 方面 ，WAPI 比 WiFi 强 。 虽然 WiFi 与 WAPI 不 兼容 ,但 应 用 WAPI 
标准 的 笔记 本 计算 机 或 者 其 他 终端 产品 可 以 自动 切换 并 接收 WiFi 信号 ， 拿 到 国外 也 一 样 。 

WAPI 联盟 的 技术 专家 告诉 记者 , 在 国内 全 面 推广 WAPI, 并 非 需要 购买 单独 的 网 卡 才 

可 以 使 用 WAPI。“ 只 要 英特尔 愿意 在 网 上 公布 迅驰 笔记 本 的 WAPI 软件 补丁 或 直接 把 驱动 
网 入 进 操作 系统 中 安装 , 迅驰 笔记 本 或 者 采用 WiFi 标准 的 无 线 产 品 都 可 以 应 用 WAPI 标准 
的 无 线 网 络 。 ”该 专家 表示 ,“ 这 件 事 对 于 英特尔 来 说 是 轻而易举 的 事情 。 问 题 的 关键 是 英 
特 尔 愿 不 愿意 ， 而 不 是 能 不 能 。” 
由 于 WiFi 联盟 的 抵制 , 为 了 兼容 他 们 生产 的 设备 ， 即 使 支持 WAPI 的 设备 , 事实 上 也 
仍然 用 的 WiFi 加 密 标准 , 因此 WAPI 也 就 成 了 摆设 。 例如 , 小米 手机 、iPhone 是 支持 WAPI 
加 密 信号 的 , 但 是 真 要 用 ,需要 无 线路 由 器 也 按 WAPI 协议 发 射 信号 ,否则 在 WiFi 网 络 环 
境 下 ， 手 机 终端 仍然 执行 WiFi 协议 ， 这 也 正 是 WAPI 在 国内 没有 存在 感 的 原因 。 

WAPI 与 WiFi 的 竞争 早 在 2004 年 就 开始 了 ，2004 年 中 国 曾 宣 布 所 有 在 华 销售 的 国外 
厂商 都 要 强制 安装 WAPI, 这 一 强制 性 的 要 求 遭 到 英特尔 等 公司 乃至 美国 政府 的 强烈 抵制 ， 
随后 , 中 国 宣布 这 一 要 求 无 限期 推迟 。2005 年 , 法 兰 克 福 会 议 上 美国 人 表示 不 会 讨论 WAPI 
问题 〈 即 1N7506 提案 )， 中 国 代表 愤然 退场 。2006 年 ， 国 际 标准 化 组 织 (ISO〉 压 倒 性 的 
多 数 否 决 了 WAPI 成 为 国际 标准 的 提议 ，IEEE 802.11i 完全 胜出 。 不 过 ， 中 国人 并 没有 完 
全 绝 了 念头 , 为 了 支持 WAPI， 政 府 监管 部 门 一 直 没 有 向 任何 一 款 带 有 WiFi 的 手机 发 放 入 
网 许可 证 ，2009 年 以 前 工信部 明令 禁止 支持 WiFi 功能 的 手机 在 国内 获得 入 网 许可 ， 洋 品 


牌 手机 要 想 进 入 中 国 市 场 必须 摘除 WiFi 模块 或 屏蔽 该 功能 ， 成 为 被 很 多 人 戏称 的 “ 闪 割 
版 ”手机 ， 后 来 又 采用 了 一 种 “市 场 扩张 从 而 培育 标准 竞争 力 ”的 策略 ， 要 求 以 手机 为 主 
的 设备 生产 商 必 须 用 “捆绑 ”的 方式 在 接受 WiFi 的 同时 ， 也 必须 接受 WAPI。 过 去 国外 手 
机 在 中 国 销售 〈 非 水 货 ) 是 不 带 WiFi 功能 的 ， 以 后 带 WiFi 的 话 也 要 接纳 WAPI。2009 年 
6 月 ，WAPI 首次 获 美 、 英 、 法 等 十 余 个 国家 成 员 的 一 致 同意 ， 将 以 独立 文本 形式 推进 为 国 
际 标准 ， 同 一 时 期 iPhone 手机 顺利 通过 我 国 专门 负责 手机 入 网 检测 的 “ 泰 尔 ”实验 室 的 检 
测 ， 并 报 工信部 电信 管理 局 发 放 进 网 许可 证 。 手 机 的 WiFi 功能 在 我 国 成 为 合法 使 用 的 
标准 。 

在 世界 经 济 技术 文化 的 综合 竞争 的 大 格局 下 ， 中 国 趁 着 自身 影响 力 和 国际 地 位 上 升 的 
时 候 大 力 推 行 自己 的 标准 ， 至 少 不 用 因 专 利 等 问题 受制 于 人 。WAPI 也 好 ，WiFi 也 罢 ， 关 
键 是 尽快 推广 ， 让 用 户 体验 到 它 的 好 处 和 先进 之 处 。 


7.3 无线 网 络 安全 的 防范 措施 


7.3.1 公共 WiFi 上 网 安全 注意 事项 


在 网 上 曾 有 人 发 帖 声称 “在 星巴克 、 麦 当 劳 ， 黑 客 只 要 用 一 台 笔 记 本 、 一 套 无 线 热点 
和 一 个 叫做 Wireshark 的 软件 ， 最 少 只 要 15 分 钟 就 能 获取 通过 临时 无 线 网 络 上 网 者 的 账号 
和 密码 ”。 国 内 某 知 名 安全 机 构 的 工程 师承 认 ， 这 个 真 可 以 做 到 。 其 实 ， 无 论 使 用 计算 机 、 
iPad， 还 是 手机 ， 只 要 通过 WiFi 上 网 ， 数 据 都 有 可 能 被 控制 这 部 WiFi 设备 的 黑客 计算 机 
截获 到 ， 其 实 也 未 必 一 定 是 Windows 系统 ， 信 息 是 有 可 能 被 窃取 的 ， 当 然 包括 未 经 加 密 处 
理 的 用 户 名 和 密码 信息 。 

一 位 荷兰 记者 讲述 了 亲身 经 历 的 黑客 利用 虚假 接 入 点 窃取 用 户 个 人 信息 的 过 程 。 整 个 
获取 信息 过 程 的 “简单 ”程度 让 人 频 目 结 舌 。 据 这 位 记者 讲述 ，Wouter 是 一 名 专门 在 人 
流 密集 的 咖啡 厅 窃 取 上 网 用 户 个 人 信息 的 黑客 。Woenuter 首先 会 连 上 咖啡 厅 的 WiFi, 利用 局 
域 网 ARP 就 可 以 连接 上 咖啡 馆 里 正在 上 网 的 设备 , 并 拦截 所 有 发 送 到 周围 笔记 本 、 智 能 手 
机 和 平板 计算 机 上 的 信号 , 随即 设置 出 一 个 诱骗 用 户 连接 的 虚假 接 入 点 名 称 , 只 等 用 户 “ 蹦 
网 ” 对 于 不 慎 点 进 这 个 接 入 点 的 用 户 ， 他 们 的 个 人 密码 、 个 人 身份 信息 、 银 行 账户 都 能 在 
短 短 几 秒 内 被 Wouter 获取 。 不 仅 如 此 ，Wouter 还 可 以 用 他 手机 上 的 APP 去 改变 任意 网 站 
上 特定 的 字 来 进行 钓鱼 攻击 。 

有 新 闻 报 道 称 余杭 的 周 先生 的 银行 卡 在 不 到 两 天 内 竟 交 易 69 笔 , 6 万 元 不 翼 而 飞 。 警 
方 调查 发 现 ， 这 可 能 与 他 曾 在 公共 场所 连接 WiFi 有 关 。 公 共 场 所 的 WiFi 按 来 源 可 分 为 两 
类 : 一 种 是 商家 提供 的 免费 WiFi; 另 一 种 是 场 内 其 他 人 搭建 的 WiFi。 商 家 的 WiFi 一 般 是 
用 普通 的 无 线路 由 器 实现 小 范围 的 网 络 覆 盖 ， 并 且 公正 网 络 验证 密码 ， 所 有 的 顾客 甚至 周 
边 的 非 顾 客人 群 都 能 接 入 该 网 络 。 如 果 商 家 选择 不 设 密码 或 者 设 密码 但 是 采用 WEP 认证 ， 
则 这 种 网 络 传输 的 数据 基本 是 透明 的 ， 用 户 传输 的 数据 很 容易 被 同 网 络 的 黑客 监听 窃取 。 
如 果 商 家 使 用 WPA 或 WPA2 协议 进行 认证 ， 数 据 传输 是 加 密 的 ， 且 每 个 用 户 的 密 钥 不 同 ， 
这 种 网 络 就 会 相对 比较 安全 。 但 对 于 普通 用 户 而 言 ， 很 难 判断 网 络 的 加 密 类 型 ， 所 以 如 果 
在 公共 场所 使 用 WiFi， 应 尽量 避免 传输 私密 数据 。 
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此 外 ， 有 些 商 用 WiFi 在 连接 网 络 之 前 会 跳 转 到 账号 登录 页 ， 要 求 用 户 输入 手机 号 码 ， 
并 通过 短信 验证 下 发 上 网 账号 密码 ， 这 一 过 程 商家 会 记录 用 户 的 手机 号 码 ， 可 能 导致 二 次 
广告 推销 行为 ， 存 在 一 定 的 消息 泄露 风险 。 

黑客 在 公共 场所 搭建 一 个 免费 的 WiFi 也 很 容易 实现 ， 只 需要 一 部 带 无 线 热点 发 射 的 
笔记 本 ， 或 者 是 笔记 本 计算 机 和 路 由 器 ， 配 合 3G/4G 上 网 卡 就 可 以 轻松 实现 。 黑 客 可 以 拱 
建 免费 WiFi， 通 过 将 SSID 标识 伪装 成 知名 餐厅 、 咖 啡 厅 类 似 的 名 称 ， 并 且 不 设 密码 来 骗 
取 用 户 连接 。 用 户 的 数据 在 通过 这 种 WiFi 时 会 被 监听 和 分 析 ， 账 号 密码 若是 明文 传输 则 
尽 在 黑客 眼底 。 

更 可 怕 的 是 ， 黑 客 还 能 通过 DNS 欺骗 ， 让 用 户 在 访问 网 银 、 支 付 宝 时 跳 转 到 虚假 的 
钓鱼 网 站 ， 通 过 网 络 钓鱼 窃取 到 用 户 的 支付 账号 和 密码 。 黑 客 还 可 能 利用 手机 系统 漏洞 、 
应 用 程序 漏洞 等 直接 获取 用 户 的 账号 密码 信息 。 

所 以 ， 当 接 入 一 个 叫 Starbucks 的 WiFi 热点 时 ， 你 无 法 完全 认定 这 是 星巴克 提供 的 ， 
还 是 “ 狸 巴克 ”提供 的 ， 这 也 意味 着 公共 场所 的 WiFi 接 入 存在 一 定 的 安全 隐患 。 

在 接 入 公共 WiFi 前 一 定 要 注意 以 下 事项 。 

1. 谨慎 使 用 WiFi 

官方 机 构 提 供 的 而 且 有 验证 机 制 的 WiFi, 可 以 找 工 作 人 员 确 认 后 连接 使 用 。 其 他 可 以 
直接 连接 且 不 需要 验证 或 密码 的 公共 WiFi 风险 较 高 ， 背 后 有 可 能 是 钓鱼 陷阱 ， 尽 量 不 
使 用 。 

2. 避免 使 用 网 银 

除非 能 确认 在 一 个 非常 安全 的 网 络 上 ， 不 然 千 万 不 要 发 送 银行 密码 、 信 用 卡号 码 、 机 
密 电 子 邮 件 ， 或 是 其 他 比较 敏感 的 数据 。 如 果 在 浏览 器 的 底 端 右边 看 到 有 一 个 “ 锁 ” 的 图 
标 ， 以 及 地 址 栏 中 的 URL 是 以 https 开头 ， 这 样 就 能 确定 这 些 站 点 已 经 加 密 。 使 用 公共 场 
合 的 WiFi 热点 时 ， 尽 量 不 要 进行 网 络 购物 和 网 银 的 操作 ， 避 免 重 要 的 个 人 敏感 信息 遭 到 
泄露 ， 甚 至 被 黑客 银行 转账 。 

3. 养 成 良好 习惯 

手机 会 把 使 用 过 的 WiFi 热点 都 记录 下 来 ， 如 果 WiFi 开关 处 于 打开 状态 ， 手 机 就 会 不 
断 向 周边 进行 搜寻 ， 一 旦 遇 到 同名 的 热点 就 会 自动 进行 连接 ， 存 在 被 钓鱼 风险 。 因 此 当 进 
入 公共 区 域 后 ， 尽 量 不 要 打开 WiFi 开关 ， 或 者 把 WiFi 调 成 锁 屏 后 不 再 自动 连接 ， 避 免 在 
自己 不 知道 的 情况 下 连接 上 恶意 WiFi。 

4. 警惕 钓鱼 网 站 

不 少 账户 被 盗 的 案例 其 实 是 因为 访问 了 钓鱼 网 站 。 它 们 伪装 成 正规 的 银行 页 面 或 是 支 
付 页 面 ， 骗 取 用 户 所 输入 的 账户 名 和 密码 ， 而 这 未 必 一 定 需要 通过 WiFi 热点 这 种 方式 来 
实现 ， 任 何 上 网 的 方式 都 有 可 能 上 当 。 不 过 ， 公 共 的 WiFi 确实 提供 了 植 入 钓鱼 网 站 的 潜 
力 ， 利 用 ARP 欺骗 可 以 在 用 户 浏 览 网 站 时 植 入 一 段 HTML 代码 ， 使 其 自动 跳 转 到 钓鱼 网 
站 。 从 这 个 角度 说 ， 公 共 WiFi 网 络 提供 了 一 个 便利 的 钓鱼 环境 。 

避免 被 钓 要 注意 使 用 安全 。 一 方面 ， 需 要 对 别人 发 来 的 网 络 地 址 多 留心 ， 因 为 这 个 地 
址 可 能 非常 接近 如 淘宝 、 网 上 银行 的 域名 地 址 , 打开 的 页 面 也 几乎 和 真实 的 页 面 完全 一 致 ， 
但 实际 用 户 进 入 的 是 一 个 伪装 的 钓鱼 网 站 ; 另 一 方面 ， 尽 量 选择 具有 安全 认证 功能 的 浏览 


器 ， 这 些 浏览 器 能 够 自动 提示 打开 的 页 面 是 否 安全 ， 避 免 进 入 钓鱼 网 站 。 对 于 智能 手机 用 
户 ， 在 下 载 和 交易 有 关 的 客户 端 软件 时 尽量 选择 官方 渠道 下 载 ， 不 要 安装 来 路 不 明 的 客 
户 端 。 

S. 安装 安全 软件 

不 管 在 手机 端 还 是 计算 机 端 都 应 安装 安全 软件 。 对 于 黑客 常用 的 钓鱼 网 站 等 攻击 手 
法 ， 安 全 软件 可 以 及 时 拦截 提醒 。 如 金山 毒霸 正在 内 测 的 “路 由 管理 大 师 ” 功 能 ， 能 有 效 
防止 家 用 路 由 器 遭 到 攻击 者 动 持 ， 防 止 网 民 上 网 “裸奔 ”。 

6. 开启 软件 防火 墙 

检查 计算 机 的 软件 防火 墙 是 否 打开 ， 以 及 Windows 的 文件 共享 特性 是 否 已 经 关闭 , 在 
Windows XP 的 SP2 中 是 默认 关闭 的 .如 果 要 检查 这 些 设置 ,打开 "控制 面板 ”选择 Windows 
防火 墙 ( 如 果 是 XP 系统 ， 首 先 要 点 击 “ 安 全 中 心 ”)。 在 XP 系统 中 ， 选 择 “例外 ”选项 
卡 ， 然 后 在 “程序 和 服务 ”列表 框 中 取消 对 “文件 和 打印 机 共享 ” 复 选 框 的 色 选 。 


7.3.2 ”提高 无 线 网 络 安全 的 方法 


提高 无 线 网 络 安全 的 方法 有 多 种 ， 针 对 不 同 的 情况 采用 不 同 的 方法 ， 也 可 以 多 种 方法 
相 结合 。 

1. 使 用 高 级 的 无 线 加 密 协 议 

不 要 使 用 WEP， 大 多 数 没有 经 验 的 黑客 能 够 迅速 地 和 轻松 地 突破 WEP 的 加 密 。 若 使 
用 WEP， 则 立即 升级 到 具有 802.1X 身份 识别 功能 的 802.11i 的 WPA2 (WiFi 保护 接 入 ) 协 
议 ， 有 不 支持 WPA2 的 老式 设备 和 接 入 点 ， 要 设法 进行 固件 升级 或 者 干脆 更 换 设备 。 要 破 
解 WPA2 协议 需要 很 长 的 时 间 和 复杂 的 配置 ， 成 功率 也 低 很 多 。 再 结合 其 他 的 安全 设置 ， 
可 以 提高 网 络 的 安全 性 。 在 设置 加 密 方 式 时 ， 可 以 使 用 WPA2-PSK 加 密 。 设 置 PSK 可 以 
降低 拒绝 服务 攻击 和 防止 外 部 探测 。 然 而 传统 的 PSK 是 共享 给 每 个 用 户 的 , 没 法 跟踪 或 对 
单独 的 来 宾 取 消 跟踪 。 但 有 些 产品 提供 动态 PSK 给 每 个 用 户 , 如 Ruckus DPSK 和 Aerohive 
PPSK 可 以 解决 这 类 问题 。 

2. 禁止 非 授权 的 用 户 联网 

无 线 网 络 和 有 线 网 络 虽 然 都 是 计算 机 网 络 ， 但 有 很 大 的 区 别 。 无 线 网 络 是 放射 状 的 ， 
不 存在 专 有 线路 连接 ， 比 有 线 网 络 更 容易 识别 和 连接 。 因 此 ， 保 障 无 线 网 络 的 安全 比 有 线 
网 络 的 安全 更 加 困难 。 保 证 无 线 连接 安全 的 关键 是 禁止 非 授权 用 户 访问 无 线 网 络 ， 即 安全 
的 接 入 点 对 非 授权 用 户 是 关闭 的 ， 非 授权 用 户 将 无 法 接 入 网 络 。 

3. 禁用 动态 主机 配置 协议 

动态 配置 协议 在 很 多 网 络 中 被 普遍 使 用 ， 给 网 络 管理 提供 了 便利 条 件 ， 但 会 给 网 络 带 
来 安全 风险 ， 因 此 应 该 禁用 动态 主机 配置 协议 。 采 用 这 个 策略 后 ， 即 使 黑客 能 使 用 你 的 无 
线 接 入 点 ， 但 不 知道 瑟 地址 等 信息 ,会 增加 黑客 破解 无 线 网 络 的 难度 。 这 样 可 以 提高 无 线 
网 络 的 安全 性 。 

4. 禁止 使 用 或 修改 SNMP 的 默认 设置 

SNMP 是 简单 网 络 管理 协议 ， 如 果 无 线 接 入 点 支持 这 个 协议 ， 那 么 应 该 禁用 这 个 协议 
或 修改 初始 配置 ， 否 则 黑客 可 以 利用 这 个 协议 获取 无 线 网 络 的 重要 信息 并 进行 攻击 。 
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S. 尽量 使 用 访问 列表 

为 了 更 好 地 保护 无 线 网 络 ， 可 以 设置 一 个 访问 列表 ， 使 无 线路 由 器 只 允许 在 规则 内 
MAC 值 的 设备 进行 通信 ， 或 者 禁止 黑 名 单 中 的 MAC 地 址 访问 。 启 用 MAC 地 址 过 滤 ， 无 
线路 由 器 会 拦截 禁止 访问 的 设备 所 发 送 的 数据 包 ， 将 这 些 数据 包 丢 弃 。 因 此 对 于 恶意 攻击 
的 主机 ， 即 使 变换 人 P 地 址 也 无 法 进行 访问 。 但 这 项 功能 并 不 是 所 有 无 线 接 入 点 都 会 支持 ， 
并 且 需 要 手动 输入 过 滤 的 MAC 值 ， 工 作 量 很 大 。 支 持 访问 列表 功能 的 接 入 点 设备 可 以 利 
用 简单 文件 传输 协议 (TFTP) 定期 自动 地 下 载 更 新 访问 列表 , 从 而 减少 管理 人 员 的 工作 量 。 

6. 改变 SSID 号 并 且 禁 止 SSID 广播 

无 线 接 入 点 的 服务 集 标 识 (SSID ) 是 无 线 接 入 的 身份 标识 ， 是 无 线 网 络 用 于 无 线 服务 
连接 的 一 项 功能 ， 用 户 通过 它 连 接 到 无 线 网 络 。 为 了 能 够 连接 成 功 并 进行 通信 ， 无 线路 由 
器 和 访问 设备 必须 使 用 相同 的 SSID。 这 个 身份 标识 是 由 通信 设备 制造 企业 出 厂 时 设置 的 ， 
都 有 其 默认 值 。 在 使 用 出 厂 设 置 的 默认 值 的 情况 下 , 在 设备 使 用 中 无 线路 由 器 广播 其 SSID 
号 ， 任 何在 此 设备 覆盖 范围 内 的 无 线 访 问 设备 都 可 以 获得 SSID 信息 ， 使 用 此 SSID 值 对 
接 入 设备 进行 配置 后 ， 可 以 实现 与 无 线路 由 器 进行 通信 。 黑 客 可 以 未 经 授权 轻松 连接 无 线 
网 络 。 虽 然 大 部 分 无 线路 由 器 都 有 禁用 SSID 广播 功能 ， 但 仍 需要 将 每 个 无 线 接 入 点 设置 
一 个 唯一 ， 并 且 难 以 推测 的 SSID 值 ， 同 时 禁止 SSID 广播 。 这 样 ， 无 线 网 络 就 可 以 限制 未 
授权 的 连接 ， 只 有 知道 SSID 值 的 用 户 才 能 进行 连接 ， 而 且 功 能 使 用 正常 ， 只 是 它 不 会 出 
现在 搜索 到 的 名 单 中 ， 需 要 手动 设置 来 连接 到 无 线 网 络 。 

7. 修改 无 线 网 络 的 管理 账户 和 密码 

有 很 多 用 户 在 使 用 无 线 网 络 的 时 候 自己 修改 了 相关 的 安全 设置 ， 但 是 忽略 了 管理 账户 
和 密码 的 修改 ， 这 给 网 络 安全 带 来 了 隐患 。 因 此 ， 在 对 无 线 网 络 安全 设置 的 时 候 就 要 先 对 
管理 账号 和 密码 进行 修改 。 

8. 将 IP 地 址 和 MAC 地 址 绑 定 

在 设置 安全 策略 时 ， 可 以 使 用 静态 人 P， 并 给 MAC 地 址 指定 IP 值 ， 进 行 绑 定 ， 如 IP 
地 址 和 MAC 值 不 完全 相同 ， 设 备 会 禁止 访问 ， 可 以 降低 安全 风险 。 

9， 修改 接 入 点 设备 的 接 入 IP 地 址 

路 由 器 厂商 在 生产 设备 时 会 设置 默认 的 LAN 接 入 了 王 地 址 ,很 多 设备 的 LAN 接 入 卫 是 
192.168.1.1 或 192.168.0.1, 这 样 的 接 入 IP 如 果 不 进行 修改 很 容易 被 攻击 者 利用 , 通过 嗅 探 
和 扫描 很 容易 发 现 网 络 的 漏洞 。 因 此 , 在 设置 无 线 网 络 安全 时 ， 可 以 将 这 个 IP 地 址 修改 成 
其 他 值 ， 攻 击 者 无 法 获取 接 入 卫 ， 想 攻击 无 线 网 络 的 难度 增加 。 

10. 保护 网 络 组 件 的 物理 安全 

计算 机 安全 并 不 仅仅 是 最 新 的 技术 和 加 密 ， 物 理 地 保护 网 络 组 件 的 安全 同样 重要 。 要 
保证 接 入 点 放置 在 接触 不 到 的 地 方 ， 如 假 吊 项 上 面 或 者 考虑 把 接 入 点 放置 在 一 个 保密 的 地 
方 ， 然 后 在 一 个 最 佳 地 方 使 用 一 个 天 线 。 如 果 不 安全 ， 有 人 会 轻松 来 到 接 入 点 ， 并 且 把 接 
入 点 重新 设置 到 厂商 默认 值 以 开放 这 个 接 入 点 。 

有 了 以 上 策略 ， 无 线 网 络 可 以 放心 安全 的 提供 网 络 给 用 户 、 合 作 伙伴 、 客 户 ， 以 及 其 
他 授权 的 来 宾 ， 而 不 用 过 多 担心 安全 问题 。 


课 后 习 题 
一 、 选 择 是 
1，WLAN 利用 ( ”，) 技术 取代 原 有 比较 碍 手 的 双 绞 铀 线 所 构成 的 局 域 有 线 网 络 。 
A. 射频 B. GSM C. GPRS D. 蓝牙 


2. 下 面 关 于 SSID 说 法 不 正确 的 是 〈 于 
A. 通过 对 多 个 无 线 接 入 点 设置 不 同 的 SSID， 并 要 求 无 线 工作 站 出 示 正 确 的 SSID 
才能 访问 AP 
B. 提供 了 40 位 和 128 位 长 度 的 密 钥 机 制 
C. 只 有 设置 为 名 称 相同 SSID 值 的 计算 机 才能 互相 通信 
D. SSID 就 是 一 个 局 域 网 的 名 称 
3. WLAN 不 适合 应 用 在 以 下 ( ) 场合 。 
A. 难以 使 用 传统 的 布线 网 络 的 场所 
B. 使 用 无 线 网 络 成 本 比较 低 的 场所 
C. 人 员 流 动 性 大 的 场所 
D. 保密 性 要 求 较 高 的 网 络 
4. 无 线 个 人 区 域 网 是 一 种 小 范围 无 线 网 ， 其 最 大 传输 距离 为 ( 尖 
A. 0.1 一 10m B. 1 一 100m C. 10 一 1000m D. 0.01 一 Im 
5. IEEE 802.1lb 是 无 线 局 域 网 的 一 个 标准 。 其 载波 的 频率 为 2.4GHz， 传 送 速度 
为 〈 和 
A. 54Mb/s B. 10Mb/s C. 100Mb/s D. 11MbAs 
. 以 下 不 是 目前 常用 的 无 线 加 密 方 式 的 是 庆 
A. WEP B. WLAN C. WPA D. WAPI 
二 、 填 空 题 
1. 无 线 网 络 又 可 以 分 为 无 线 广域网 、 无 线 城 域 网 、 
2. 无 线 网 络 按照 网 络 组 织 形 式 可 分 为 和 
3. WLAN 工作 于 或 频段 。 
4 
S 


CN 


和 


.Bluetooth〈 蓝 牙 ) 的 目标 和 宗旨 是 : 保持 联系 ， ， 

. Bluetooth 〈 蓝 牙 ) 在 发 射 带宽 为 IMHz 时 ， 其 有 效 数据 速率 为 
数据 速度 可 达 b/s。 

6. IEEE 802.11b 是 无 线 局 域 网 的 一 个 标准 。 其 载波 的 频率 为 
为 b/s。 

7. WLAN 中 常用 的 加 密 方式 有 WEP、_ 和 

8. WEP 使 用 位 密 钥 或 位 密 钥 ,使 用 对 称 加 密 算 法 对 链 路 
层 数据 进行 加 密 ， 从 而 防止 非 授权 用 户 的 监听 及 非法 用 户 的 访问 。 

9. WPA 加 密 方式 目前 有 4 种 认证 方式 : WPA、 、WPA2、 。 采 用 
的 加 密 算法 有 两 种 : 和 

10. WAPI 由 于 采用 了 更 加 合理 的 


b/s， 最 高 


Hz， 传 送 速度 


加 密 技 术 ， 比 802.11 更 为 先进 。WAPI 采 
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密码 算法 和 对 称 密 钥 体 制 


用 国家 密码 管理 委员 会 办 公 室 批准 的 公开 密 钥 体制 的 
的 密码 算法 。 

三 、 简 答题 

1. 蓝牙 系统 一 般 由 哪 几 个 功能 单元 组 成 ? 

2. 无 线 网 络 存在 哪些 安全 隐患 ? 

3. 无 线 网 络 安全 的 关键 技术 有 哪些 ? 

4 

3 


.公共 WiFi 上 网 安全 注意 事项 有 哪些 ? 
. 提高 无 线 网 络 安全 的 方法 有 哪些 ? 


第 8 章 VPN 技术 


8.1 VPN 概述 


8.1.1 什么 是 VPN 


互联 网 的 普及 和 信息 通信 技术 的 发 展 推动 了 信息 的 交流 和 沟通 。 在 全 球 化 经 济 浪潮 的 
推动 下 ， 企 业 的 生产 经 营 组 织 逐 步 实现 区 域 化 ， 越 来 越 多 的 企业 逐步 应 用 信息 通信 技术 改 
变 业务 模式 和 管理 模式 。 随 着 企业 网 应 用 的 不 断 扩 大 ， 企 业 网 的 范围 也 不 断 扩 大 ， 从 本 地 
到 跨 地 区 、 跨 城市 ， 甚 至 是 跨国 家 的 网 络 。 目 前 很 多 单位 都 面临 着 这 样 的 挑战 : 分 公司 、 
经 销 商 、 合 作 伙伴 、 客 户 和 外 地 出 差 人 员 要 求 随时 经 过 公用 网 访问 公司 的 资源 ， 这 些 资源 
包括 公司 的 内 部 资料 、 办 公 OA、ERP 系统 、CRM 系统 、 项 目 管 理 系 统 等 。 但 采用 传统 的 
广域网 建立 企业 专 网 ， 往 往 需 要 租用 昂贵 的 跨 地 区 数字 专线 。 同 时 Intemet 已 裔 布 各 地 ， 
物理 上 各 地 的 Internet 都 是 连通 的 ， 但 Intemet 是 对 社会 开放 的 ， 如 果 企 业 的 信息 要 通过 公 
众 信息 网 进行 传输 ， 在 安全 性 上 存在 着 很 多 问题 。 那 么 ， 该 如 何 利用 现 有 的 公众 信息 网 建 
立 安 全 的 企业 专 有 网 络 呢 ? 为 了 解决 上 述 问题 ， 人 们 提出 了 虚拟 专用 网 (Virtual Private 
Network，VPN) 的 概念 。 

VPN 利用 隧道 封装 、 信 息 加 密 、 用 户 认证 等 访问 控制 技术 在 开放 的 公用 网 络 传输 信息 。 
VPN 连接 允许 用 户 无 论 在 家 或 是 在 路 途中 都 可 以 通过 如 Intemet 的 公 网 的 路 由 基础 设施 以 
一 种 安全 的 形式 连接 到 远程 的 内 网 服务 器 。 在 用 户 看 来 ，VPN 连接 就 像 是 一 个 用 户 计算 机 
与 远程 服务 器 的 点 到 点 的 连接 。 网 络 间 的 介质 对 于 用 户 来 说 是 没有 关系 的 ， 因 为 数据 就 像 
被 传输 在 一 个 专用 的 连接 上 。VPN 技术 同样 允许 一 个 公司 通过 公 网 (如 Intemet) 安全 地 
连接 分 公司 或 是 其 他 公司 。 通 过 Intemet 的 VPN 连接 在 逻辑 上 就 像 一 个 站 点 间 的 广域网 
(WAN) 连接 。 在 这 些 情况 下 ， 通 过 公 网 的 安全 连接 对 用 户 来 说 好 像 一 个 专用 网 络 的 通信 ， 
尽管 通信 实际 上 是 在 公 网 上 进行 的 ， 这 就 是 为 什么 叫做 虚拟 专用 网 络 。 

VPN 允许 用 户 或 公司 在 保持 安全 通信 的 前 提 下 ,通过 公 网 来 连接 远程 服务 、 分 支 结 构 
或 其 他 公司 。 传 统 的 VPN 业务 单一 ， 可 以 通过 MPLS 来 部 署 多 种 业务 。MPLS-VPN 是 指 
采用 MPLS (多 协议 标记 转换 ) 技术 在 骨干 的 宽带 IP 网 络 上 构建 企业 IP 专 网 ， 实 现 跨 地 
域 、 安 全 、 高 速 、 可 靠 的 数据 、 语 音 、 图 像 多 业务 通信 ， 并 结合 差别 服务 、 流 量 工程 等 相 
关 技 术 ， 将 公众 网 可 靠 的 性 能 、 良 好 的 扩展 性 、 丰 富 的 功能 与 专用 网 的 安全 、 灵 活 、 高 效 
结合 在 一 起 。 利 用 MPLS 构造 的 VPN 不 仅 可 以 实现 各 种 增值 业务 ， 而 且 可 以 通过 配置 将 
单一 接 入 点 形成 多 种 VPN， 每 种 VPN 代表 不 同 的 业务 ， 使 网 络 能 以 灵活 方式 传送 不 同类 
型 的 业务 。 在 这 些 情况 下 ， 尽 管 通信 和 是 在 公 网 上 进行 的 ， 但 是 对 于 用 户 来 说 好 像 是 在 专用 
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网 络 上 进行 通信 。VPN 技术 的 目的 是 解决 业务 中 日 益 增 加 的 远程 交换 和 广泛 的 全 球 分 布 式 
运营 ， 在 这 些 活动 中 ， 员 工 必须 能 够 连接 中 央 资 源 并 互相 联系 。 


8.1.2 VPN 的 发 展 历 程 


VPN 是 解决 基于 Intemet 的 信息 交流 安全 隐患 的 一 种 重要 技术 手段 。VPN 的 发 展 经 历 
了 几 个 关键 阶段 ， 随 着 市 场 需求 的 变化 ，VPN 技术 也 在 逐步 完善 和 扩展 。 传 统 的 VPN 组 
网 主要 采用 专线 VPN 和 基于 客户 端 设备 的 加 密 VPN 两 种 方式 。 

专线 VPN 是 指 用 户 租 用 数字 数据 网 电路 、ATM 永久 性 虚 电 路 、 帧 中 继 PVC 等 组 建 一 
个 两 层 的 VPN 网络， 骨干 网 络 由 电信 运营 商 进行 维护 ， 客 户 负 责 管理 自身 的 站 点 和 路 由 。 
基于 客户 端 设备 的 加 密 VPN 是 指 VPN 的 功能 全 部 由 客户 端 设备 来 实现 ,VPN 各 成 员 之 间 
通过 公 网 实现 互联 。 第 一 种 方式 的 成 本 比较 高 ， 扩 展 性 也 不 好 ; 第 三 种 方式 对 用 户 端 设备 
及 人 员 的 要 求 较 高 。 

随 着 IP 数据 通信 技术 的 不 断 发 展 ，IP VPN 逐渐 成 为 VPN 市 场 的 主流 。IP VPN 是 基 
于 IP 网络 基础 设施 (Intemet) 之 上 构建 的 专用 虚拟 通信 网 络 ， 采 用 IP 网 络 来 承载 ， 成 本 
较 低 ， 能 够 提供 令 人 满意 的 服务 质量 ， 并 且 具 有 较 好 的 可 扩展 性 和 可 管理 性 ， 因 此 越 来 越 
多 的 用 户 开始 选择 PVPN， 运 营 商 也 建设 人 VPN 来 吸引 更 多 的 用 户 。 

20 世纪 90 年 代 初 期 ， 人 们 主要 使 用 L2TP 和 PPTP 来 构建 VPN。PPTP 和 L2TP 都 是 
OSI 较 早期 的 VPN 协议 。 前 者 是 微软 公司 在 1996 年 制定 ， 后 者 则 由 Cisco 与 微软 公司 在 
PPTP 和 L2F 的 基础 上 制定 。20 世纪 90 年 代 中 后 期 开始 ， 基 于 IPSec 协议 的 VPN 模式 受 
到 人 们 重视 ， 逐 步 成 为 企业 VPN 的 主流 。IPSec 是 IETF 完善 的 安全 标准 ， 而 MPLS VPN 
也 是 由 IETF 制定 的 、 与 IPSec 互补 的 VPN 标准 。 MPLS VPN 广泛 用 于 ISP 直接 向 VPN 客 
户 提 供 专 线 VPN 的 服务 。 

进入 21 世纪 ， 基 于 SSL 协议 的 SSL VPN 产品 开始 出 现 。 然 而 SSL 用 户 仅 限于 运用 
Web 浏览 器 接 入 ， 它 限制 了 非 Web 应 用 访问 ， 使 得 一 些 文件 操作 功能 难于 实现 ， 如 文件 共 
享 、 预 定 文件 备份 和 自动 文件 传输 。 虽 然 用 户 可 以 通过 升级 、 增 加 补丁 、 安 装 SSL 网 关 或 
其 他 办 法 来 支持 非 Web 应 用 ， 但 实现 成 本 高 且 复杂 ， 难 以 实现 。 而 IPSec VPN 能 顺利 实现 
企业 网 资源 访问 ， 仍 是 目前 应 用 广泛 的 主流 VPN 模式 。 


8.1.3 VPN 的 基本 功能 


虚拟 专 网 的 重点 在 于 建立 安全 的 数据 通道 ， 构 造 这 条 安全 通道 的 协议 必须 具备 以 下 
功能 : 

(1) 保证 数据 的 真实 性 。 通信 主机 必须 是 经 过 授权 的 , 要 有 抵抗 地 址 冒 认 (IPSpoofing) 
的 能 力 。 

(2) 保证 数据 的 完整 性 。 接 收 到 的 数据 必须 与 发 送 时 的 一 致 ， 要 有 抵抗 不 法 分 子 算 改 
数据 的 能 

(3) 保证 通道 的 机 密 性 。 提 供 强 有 力 的 加 密 手 段 ， 必 须 使 偷 听 者 不 能 破解 所 拦截 到 的 

(4) 提供 动态 密 钥 交换 功能 。 提 供 密 钥 中 心 管理 服务 器 ， 必 须 具备 防止 数据 重演 的 功 
能 ， 保 证 通道 不 能 被 重演 。 


(5) 提供 安全 防护 措施 和 访问 控制 。 要 有 抵抗 黑客 通过 VPN 通道 攻击 企业 网 络 的 能 
力 ， 并 且 可 以 对 VPN 通道 进行 访问 控制 。 
8.1.4 VPN 特性 


(1) 节省 费用 。 由 于 使 用 Intemet 进行 传输 相对 于 租用 专线 来 说 费用 极为 低廉 ， 
VPN 技术 使 得 企业 通过 Intemet 实现 既 安 全 又 经 济 的 传输 私有 的 机 密 信 息 成 为 可 能 。 

(2) 伸缩 性 。VPN 能 够 随 着 网 络 的 扩张 ， 很 灵活 的 加 以 扩展 。 当 增加 新 的 用 户 或 子 网 
时 ， 只 需 修改 已 有 网 络 软件 配置 ， 在 新 增 客户 端 或 网 关上 安装 相应 软件 并 接 入 Intemet 后 ， 
新 的 VPN 即 可 工作 。 

(3) 灵活 性 。 除 了 能 够 方便 地 将 新 的 子 网 扩充 到 企业 的 网 络 外 ， 由 于 Intemet 的 全 球 
连通 性 ，VPN 可 以 使 企业 随时 安全 的 与 全 球 的 商贸 伙伴 和 顾客 传递 信息 。 

(4) 易于 管理 。 用 专线 将 企业 的 各 个 子 网 连接 起 来 时 ， 随 着 子 网 数量 的 增加 ， 需 要 的 
专线 数 以 几何 级 数 增长 。 而 使 用 VPN 时 Intemet 的 作用 类 似 一 个 Hub， 只 需要 将 各 个 子 网 
接 入 Interet 即 可 ， 不 需要 进行 各 个 线路 的 管理 。 

(5) 安全 性 高 。 采 用 国际 最 先进 的 标准 网 络 安全 技术 ， 通 过 在 公用 网 络 上 建立 逻辑 隧 
道 及 网 络 层 的 加 密 ， 避 免 网 络 数据 被 修改 和 盗用 ， 以 保证 数据 仅 被 指定 的 发 送 者 和 接收 者 
了 解 ， 从 而 保证 了 用 户 数 据 的 私有 性 和 安全 性 。 

(6) 数据 传输 支持 多 种 业务 。 可 很 好 的 支持 新 兴 多 媒体 业务 ，VPN 服务 能 够 支持 多 种 
类 型 的 传输 媒介 ; 可 以 满足 同时 传输 语音 、 图 像 和 数据 的 需求 ， 用 户 可 根据 需要 加 载 各 种 
应 用 软件 ， 如 办 公 自 动 化 、 财 务 、 电 子 传真 、 数 据 报表 等 业务 。VPN 可 支持 目前 各 种 流行 
的 高 级 应 用 ， 如 下 语音 、IP 视讯 等 。 


8.2 ”常用 VPN 技术 


常用 VPN 技术 主要 有 IPSec VPN、SSL VPN 和 MPLS VPN。 这 三 种 VPN 技术 各 有 特 
色 、 各 有 所 长 。 下 面 分 别 对 这 三 种 技术 进行 介绍 。 


8.2.1 IPSec VPN 


IPSec (Interet Protocol Security， 因 特 网 安全 协议 ) 是 VPN 的 基本 加 密 协 议 ， 它 为 数 
据 通过 公用 网 络 〈 如 因特网 ) 在 网 络 层 进行 传输 时 提供 安全 保障 。IPSec 产生 于 IPv6 的 制 
定之 中 。 鉴 于 IPv4 的 应 用 仍然 很 广泛 ， 所 以 后 续 在 IPSec 的 制定 中 也 增添 了 对 IPv4 的 支 
持 。 最 初 的 一 组 有 关 IPSec 标准 由 IETF 在 1995 年 制定 ， 但 由 于 其 中 存在 一 些 未 解决 的 问 
题 ， 从 1997 年 开始 IETF 又 开展 了 新 一 轮 IPSec 的 制定 工作 ， 截 止 至 1998 年 11 月 主要 协 
议 已 经 基本 制定 完成 。IPSec VPN 是 目前 较为 流行 的 VPN 技术 ， 它 采用 的 IPSec 是 目前 应 
用 广泛 、 开 放 的 安全 协议 簇 。 

1. IPSec 的 安全 特性 

(1) 不 可 和 否认 性 。 可 以 证 实 消息 发 送 方 是 唯一 可 能 的 发 送 者 ， 发 送 者 不 能 和 否认 发 送 过 
消息 。“ 不 可 和 否认 性 ”是 采用 公 钥 技术 的 一 个 特征 ， 当 使 用 公 钥 技术 时 ， 发 送 方 用 私 钥 产生 
一 个 数字 签名 随 消息 一 起 发 送 ， 接 收 方 用 发 送 者 的 公 钥 来 验证 数字 签名 。 由 于 在 理论 上 只 
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有 发 送 者 才 唯一 拥有 私 钥 ， 也 只 有 发 送 者 才 可 能 产生 该 数字 签名 ， 因 此 只 要 数字 签名 通过 
验证 ， 发 送 者 就 不 能 和 否认 曾 发 送 过 该 消息 。 但 “不 可 和 否认 性 ”不 是 基于 认证 的 共享 密 钥 技 
术 的 特征 ， 因 为 在 基于 认证 的 共享 密 钥 技术 中 ， 发 送 方 和 接收 方 掌握 相同 的 密 钥 。 

(2) 反 重 播 性 。 确 保 每 个 卫 包 的 唯一 性 ， 保 证 信息 万 一 被 截取 复制 后 ， 不 能 再 被 重新 
利用 、 重 新 传输 回 目的 地 址 。 该 特性 可 以 防止 攻击 者 截取 破译 信息 后 ， 再 用 相同 的 信息 包 
冒 取 非 法 访问 权 《〈 即 使 这 种 冒 取 行为 发 生 在 数 月 之 后 )。 

(3) 数据 完整 性 。 防 止 传输 过 程 中 数据 被 算 改 ， 确 保 发 出 数据 和 接收 数据 的 一 致 性 。 
IPSec 利用 Hash 函数 为 每 个 数据 包产 生 一 个 加 密 检 查 和 ,接收 方 在 打开 包 前 先 计算 检查 和 ， 
若 包 遭 算 改 导致 检查 和 不 相符 ， 数 据 包 即 被 丢弃 。 

(4) 数据 可 靠 性 (加 密 )。 在 传输 前 对 数据 进行 加 密 ， 可 以 保证 在 传输 过 程 中 ， 即 使 
数据 包 遭 截取 ， 信 息 也 无 法 被 读 出 。 该 特性 在 了 PSec 中 为 可 选项 ， 与 IPSec 策略 的 具体 设 
置 相关 。 认 证 数据 源 发 送信 任 状 态 ， 由 接收 方 验证 信任 状态 的 合法 性 ， 只 有 通过 认证 的 系 
统 才 可 以 建立 通信 连接 。 

IPSec 建立 在 终端 到 终端 的 模式 上 , 这 意味 着 只 有 识别 IPSec 的 计算 机 才能 作为 发 送 和 
接收 计算 机 。IPSec 并 不 是 一 个 单一 的 协议 或 算法 ， 它 是 一 系列 加 密实 现 中 使 用 的 加 密 标 
准 定义 的 集合 。IPSec 的 安全 实现 在 他 层 ， 因 而 它 与 任何 上 层 应 用 或 传输 层 的 协议 无 关 。 
上 层 不 需要 知道 在 IP 层 实 现 的 安全 ， 所 以 在 他 层 不 需要 做 任何 修改 。 

2. IPSec 体系 结构 

IPSec 体系 结构 的 现 用 文档 是 RFC2401， 体 系 结构 文档 系统 地 描述 了 IPSec 的 工作 原 
理 、 系 统 组 成 及 各 个 组 件 是 如 何 协同 工作 提供 上 述 安 全 服务 的 。IPSec 安全 体系 包括 三 个 
基本 协议 ; AH 协议 为 瑟 包 提供 信息 源 验证 和 完整 性 保证 ，ESP 协议 提供 加 密 机 制 ， 密 钥 
管理 协议 〈ISAKMP) 提供 双方 交流 时 的 共享 安全 信息 。ESP 和 AH 协议 都 有 相关 的 - 
列 支 持 文件 ， 规 定 了 加 密 和 认证 的 算法 。 最 后 ， 解 释 域 (DOI) 通过 一 系列 命令 、 算 法 、 
属性 和 参数 连接 所 有 的 IPSec 组 文件 。 

(1) ESP (封装 安全 载荷 )。 

ESP 协议 主要 用 来 处 理 人 P 数据 包 的 加 密 ， 对 认证 也 提供 某 种 程度 的 支持 。ESP 是 与 具 
体 的 加 密 算 法 相 独立 的 ， 几 乎 可 以 支持 各 种 对 称 密 钥 加 密 算 法 ， 如 DES、Triple DES、 
RC5 等 。 为 了 保证 各 种 IPSec 实现 间 的 互 操作 性 ， 目 前 ESP 必须 提供 对 56 位 DES 算法 的 
支持 。 

ESP 协议 数据 单元 格式 由 三 个 部 分 组 成 ， 除 了 头 部 、 加 密 数 据 部 分 外 ， 在 实施 认证 时 
还 包含 一 个 可 选 尾部 。 头 部 有 两 个 域 : 安全 策略 索引 和 序列 号 。 使 用 ESP 进行 安全 通信 之 
前 ， 通 信 双 方 需要 先 协商 好 一 组 将 要 采用 的 加 密 策略 ， 包 括 使 用 的 算法 、 密 钥 及 密 钥 的 有 
效 期 等 。“ 安 全 策略 索引 ”是 用 来 标识 发 送 方 使 用 哪 组 加 密 策略 来 处 理 人 P 数据 包 的 ， 当 接 
收 方 看 到 了 这 个 序号 就 知道 了 对 收 到 的 卫 数据 包 应 该 如 何 处 理 。“ 序 列 号 ”用 来 区 分 使 用 
同一 组 加 密 策略 的 不 同 数据 包 。 加 密 数据 部 分 除了 包含 原 他 数据 包 的 有 效 负载 外 , 填充 域 
(用 来 保证 加 密 数据 部 分 满足 块 加 密 的 长 度 要求 ) 包含 其 余部 分 在 传输 时 都 是 加 密 过 的 。 其 
中 “下 一 个 头 部 ”用 来 指出 有 效 负 载 部 分 使 用 的 协议 ， 可 能 是 传输 层 协议 《TCP 或 UDP)， 
也 可 能 还 是 IPSec 协议 (ESP 或 AH)。 

ESP 协议 有 两 种 工作 模式 : 传输 模式 和 隧道 模式 。 当 ESP 工作 在 传输 模式 时 ， 采 用 当 


前 的 卫 头 部 。 而 在 隧道 模式 时 , 使 整个 耳 数据 包 进 行 加 密 作 为 ESP 的 有 效 负载 , 并 在 ESP 
头 部 前 增添 以 网 关 地 址 为 源 地 址 的 新 的 地头 部 ， 此 时 可 以 起 到 NAT 的 作用 。 

(2) AH (认证 头 )。 

AH 协议 为 卫 通信 提供 数据 源 认 证 、 数 据 完整 性 和 反 重 播 保证 ， 它 能 保护 通信 和 免 受 算 
改 ， 但 不 能 防止 窃听 ， 适 合用 于 传输 非 机 密 数 据 。AH 的 工作 原理 是 在 每 一 个 数据 包 上 添 
加 一 个 身份 验证 报头 。 此 报头 包含 一 个 带 密 钥 的 hash 散 列 (可 以 将 其 当 作 数字 签名 ， 只 是 
它 不 使 用 证 书 )， 此 hash 散 列 在 整个 数据 包 中 计算 ， 因 此 对 数据 的 任何 更 改 将 致使 散 列 无 
效 一 一 这 样 就 提供 了 完整 性 保护 。 

AH 只 涉及 认证 ， 不 涉及 加 密 。AH 虽然 在 功能 上 和 ESP 有 些 重复 ,但 AH 除了 可 以 
对 IP 的 有 效 负载 进行 认证 外 ， 还 可 以 对 人 P 头 部 实施 认证 。 主 要 是 处 理 数据 时 可 以 对 中 头 
部 进行 认证 ， 而 ESP 的 认证 功能 主要 是 面 对 IP 的 有 效 负 载 。 为 了 提供 最 基本 的 功能 并 保 
证 互 操作 性 ，AH 必须 包含 对 HMAC (是 一 种 SHA 和 MDS5 都 支持 的 对 称 式 认证 系统 ) 的 
支持 。AH 既 可 以 单独 使 用 ， 也 可 以 在 隧道 模式 下 ， 或 者 和 ESP 联 用 。 

(3) IKE (Intemet 密 钥 交 换 )。 

Internet 密 钥 交换 (Internet Key Exchange) 协议 是 IPSec 默认 的 安全 密 钥 协商 方法 ,IKE 
通过 一 系列 报 文 交换 为 两 个 实体 (如 网 络 终端 或 网 关 ) 进行 安全 通信 派生 会 话 密 钥 。IKE 
建立 在 Interet 安全 关联 和 密 钥 管理 协议 (ISAKMP) 定义 的 一 个 框架 之 上 。IKE 是 IPSec 
目前 正式 确定 的 密 钥 交换 协议 ，IKE 为 IPSec 的 AH 和 ESP 协议 提供 密 钥 交换 管理 和 SA 
管理 ， 同 时 也 为 ISAKMP 提供 密 钥 管 理 和 安全 管理 。IKE 具有 两 种 密 钥 管理 协议 的 一 部 分 
功能 , 并 综合 了 OAKLEY 和 SKEME 的 密 钥 交换 方案 , 形成 了 自己 独一无二 的 受 鉴别 保护 
的 加 密 协议 生成 技术 。IKE 协议 主要 是 对 密 钥 交 换 进行 管理 ， 它 主要 包括 三 个 功能 ， 对 使 
用 的 协议 、 加 密 算法 和 密 钥 进行 协商 ， 方便 的 密 钥 交换 机 制 ， 跟 踪 以 上 这 些 约定 的 实施 。 

(4) DOI (解释 域 )。 

为 了 IPSec 通信 两 端 能 相互 交互 ， 通 信 双 方 应 该 理解 AH 协议 和 ESP 协议 载荷 中 各 字 
段 的 取 值 ， 因 此 通信 双方 必须 保持 对 通信 消息 相同 的 解释 规则 ， 即 应 持 有 相同 的 解释 域 。 
IPSec 已 经 给 出 了 两 个 解释 域 : IPSec DOI 和 ISAKMP DOI， 它 们 各 有 不 同 的 使 用 范围 。 解 
释 域 定义 了 协议 用 来 确定 安全 服务 的 信息 通信 双方 必须 支持 的 安全 策略 ， 规 定 所 采用 的 句 
法 ， 命 名 相关 安全 服务 信息 时 的 方案 ， 包 括 机 密 算法 、 密 钥 交 换算 法 、 安 全 策略 特性 和 认 
证 中 心 等 。 

(5) 加 密 算法 和 认证 算法 。 

ESP 涉及 这 两 种 算法 ，AH 涉及 认证 算法 。 加 密 算法 和 认证 算法 在 协商 过 程 中 ， 通 过 
使 用 共同 的 DOI， 具 有 相同 的 解释 规则 。ESP 和 AH 所 使 用 的 各 种 加 密 算法 和 认证 算法 由 
一 系列 RFC 文档 规定 ， 而 且 随 着 密码 技术 的 发 展 ， 不 断 有 新 的 加 密 和 认证 算法 可 以 用 于 
IPSec。 因 此 ， 有 关 IPSec 中 的 加 密 和 认证 算法 的 文档 也 在 不 断 增 加 和 发 展 。 

IPSec 提供 基于 电子 证 书 的 公 钥 认证 方式 ， 一 个 架构 良好 的 公 钥 体系 在 信任 状态 的 传 
递 中 不 造成 任何 信息 外 泄 ， 能 解决 很 多 安全 问题 。IPSec 与 特定 的 公 钥 体系 相 结合 ， 可 以 
提供 基于 电子 证 书 的 认证 。 公 钥 证 书 认 证 在 Windows 2003 中 适用 于 对 非 Windows 2003 主 
机 、 独 立 主机 ， 非 信任 域 成 员 的 客户 端 ， 或 者 不 运行 Kerberos v5 认证 协议 的 主机 进行 身份 
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IPSec 也 可 以 使 用 预 置 共享 密 钥 进行 认证 。 预 共享 意味 着 通信 双方 必须 在 IPSec 策略 设 
置 中 就 共享 的 密 钥 达 成 一 致 。 之 后 在 安全 协商 过 程 中 ， 信 息 在 传输 前 使 用 共享 密 钥 加 密 ， 
接收 端 使 用 同样 的 密 钥 解密 , 如 果 接 收 方 能 够 解密 , 即 被 认为 可 以 通过 认证 。 但 在 Windows 
2003 IPSec 策略 中 ， 这 种 认证 方式 被 认为 不 够 安全 而 一 般 不 推荐 使 用 。 

(6) 密 钥 管理 。 

IPSec 密 钥 管理 主要 是 由 IKE 协议 完成 。IKE 是 用 于 动态 安全 关联 (SA) 及 提供 所 需 
要 的 经 过 认证 的 密 钥 材料 。IKE 的 基础 是 ISAKMP、Oakley 和 SKEME 三 个 协议 ， 它 沿用 
了 ISAIMP 的 基础 、Oakley 的 模式 及 SKEME 的 共享 和 密 钥 更 新 技术 。 更 要 强调 的 是 ， 虽 
然 ISAKMP 称 为 Internet 安全 关联 和 密 钥 管理 协议 , 但 它 定义 的 是 一 个 管理 框架 。ISAKMP 
定义 了 双方 如 何 沟 通 ， 如 何 构建 彼此 间 的 沟通 信息 ， 还 定义 了 保障 通信 安全 所 需要 的 状态 
交换 。ISAKMP 提供 了 对 对 方 进行 身份 认证 的 方法 ， 密 钥 交 换 时 交换 信息 的 方法 ， 以 及 有 
定义 建立 安全 关联 所 需 的 属性 。 

IPSec 策略 使 用 “动态 密 钥 更 新 ”法 来 决定 在 一 次 通信 中 新 密 钥 产 生 的 频率 。 动 态 密 
钥 是 指 在 通信 过 程 中 ， 数 据 流 被 划分 成 一 个 个 “数据 块 ” 每 一 个 “数据 块 ” 都 使 用 不 同 的 
密 钥 加 密 ， 这 可 以 保证 万 一 攻击 者 中 途 截取 了 部 分 通信 数据 流 和 相应 的 密 钥 后 ， 也 不 会 危 
及 所 有 其 余 的 通信 信息 的 安全 。 动 态 密 钥 更 新 服务 由 Intemet 密 钥 交 换 提供 。 

IPSec 策略 允许 专家 级 用 户 自 定义 密 钥 生命 周期 。 如 果 该 值 没 有 设置 ， 则 按 缺 省 时 间 
间隔 自动 生成 新 密 钥 。 

密 钥 长 度 每 增加 一 位 ， 可 能 的 密 钥 数 就 会 增加 一 倍 ， 相 应 地 ， 破 解密 钥 的 难度 也 会 随 
之 成 指数 级 上 升 。IPSec 策略 提供 多 种 加 密 算法 ， 可 生成 多 种 长 度 不 等 的 密 钥 ， 用 户 可 根 
据 不 同 的 安全 需求 加 以 选择 。 

要 启动 安全 通信 ， 通 信 两 端 必 须 首 先 得 到 相同 的 共享 密 钥 ( 主 密 钥 )， 但 共享 密 钥 不 
能 通过 网 络 相互 发 送 ， 因 为 这 种 做 法 极 易 泄密 。 

Diffie-Hellman 算法 是 用 于 密 钥 交 换 的 最 早 、 最 安全 的 算法 之 一 。DH 算法 的 基本 工作 
原理 是 通信 双方 公开 或 半 公开 交换 一 些 准备 用 来 生成 密 钥 的 “材料 数据 ”在 彼此 交换 过 密 
钥 生 成 “材料 ”后 ， 两 端 可 以 各 自生 成 完全 一 样 的 共享 密 钥 。 在 任何 时 候 双方 都 绝 不 交换 
真正 的 密 钥 。 

通信 双方 交换 的 密 钥 生成 “材料 ”长 度 不 等 ,“ 材 料 ” 长 度 越 长 ， 所 生成 的 密 钥 强度 
也 就 越 高 ， 密 钥 破 译 就 越 困 难 。 除 了 进行 密 钥 交换 外 ，IPSec 还 使 用 DH 算法 生成 所 有 其 
他 加 密 密 钥 。 

(7) 策略 。 

决定 两 个 实体 之 间 能 否 通 信 , 以 及 如 何 通信 。 目前 策略 部 分 尚未 成 为 标准 组 件 。 现 在 下 TF 
专门 成 立 了 IPSP (IP 安全 策略 ) 工作 组 ， 但 目前 只 是 提出 了 一 些 草案 ， 尚 未 形成 标准 。 

3. HMAC (Hash 信息 验证 码 ) 

Hash 信息 验证 码 (Hash Message Authentication Codes，HMAC) 验证 接收 消息 和 发 送 
消息 的 完全 一 致 性 (完整 性 )。 这 在 数据 交换 中 非常 关键 ， 尤 其 当 传输 媒介 如 公共 网 络 中 不 
提供 安全 保证 时 更 显示 出 其 重要 性 。 

HMAC 结合 Hash 算法 和 共享 密 钥 提供 完整 性 。Hash 散 列 通常 也 被 当成 是 数字 签名 ， 
但 这 种 说 法 不 够 准确 ， 两 者 的 区 别 在 于 : Hash 散 列 使 用 共享 密 钥 ， 而 数字 签名 基于 公 钼 技 


术 。hash 算法 也 称 为 消息 摘要 或 单 向 转换 。 称 它 为 单 向 转换 是 因为 : 

(1) 双方 必须 在 通信 的 两 个 端 头 处 各 自 执行 Hash 函数 计算 。 

(2) 使 用 Hash 函数 很 容易 从 消息 计算 出 消息 摘要 ， 但 其 逆向 反 演 过 程 以 目前 计算 机 
的 运算 能 力 几乎 不 可 能 实现 。 

Hash 散 列 本 身 就 是 所 谓 加 密 检 查 和 消息 完整 性 编码 (Message Integrity Code，MIC )， 
通信 双方 必须 各 自 执行 函数 计算 来 验证 消息 。 例如 , 发 送 方 首先 使 用 HMAC 算法 和 共享 密 
钥 计 算 消 息 检 查 和 ， 然 后 将 计算 结果 A 封装 进 数据 包 中 一 起 发 送 ; 接收 方 再 对 所 接收 的 消 
息 执 行 HMAC 计算 得 出 结果 B， 并 将 B 与 A 进行 比较 。 如 果 消 息 在 传输 中 遭 算 改 人 致使 B 
与 A 不 一 臻 ， 接 收 方 丢弃 该 数据 包 。 

有 两 种 最 常用 的 Hash 函数 : 

(1) HMAC-MD5。MD5 消息 摘要 5) 基于 RFC1321。MDS5 对 MD4 做 了 改进 ， 计 算 
速度 比 MD4 稍 慢 , 但 安全 性 能 得 到 了 进一步 改善 . MD5 在 计算 中 使 用 了 64 个 32 位 常数 ， 
最 终生 成 一 个 128 位 的 完整 性 检查 和 。 

(2) HMAC-SHA。 安 全 Hash 算法 定义 在 NIST FIPS 180-1， 其 算法 以 MD5 为 原型 。 
SHA 在 计算 中 使 用 了 79 个 32 位 常数 , 最 终 产 生 一 个 160 位 完整 性 检查 和 。SHA 检查 和 长 
度 比 MD5 更 长 ， 因 此 安全 性 也 更 高 。 

4. IPSec 基本 工作 原理 

IPSec 的 工作 原理 类 似 于 包 过 滤 防 火 墙 ， 可 以 看 作 是 对 包 过 滤 防 火 墙 的 一 种 扩展 。 当 
接收 到 一 个 他 数据 包 时 , 包 过 滤 防 火 墙 使 用 其 头 部 在 一 个 规则 表 中 进行 匹配 。 当 找到 一 个 
相 匹 配 的 规则 时 ， 包 过 滤 防 火 墙 就 按照 该 规则 制定 的 方法 对 接收 到 的 人 P 数据 包 进 行 处 理 。 
这 里 的 处 理工 作 只 有 两 种 : 丢弃 或 转发 。 

IPSec 通过 查询 SPD (Security Policy Database， 安 全 策略 数据 库 ) 来 决定 对 接收 到 的 
卫 数据 包 的 处 理 。 它 采取 如 下 两 种 处 理 方法 : 一 种 是 丢弃 卫 数据 包 ， 另 一 种 是 进行 IPSec 
处 理 。 上 述 两 种 处 理 方法 提供 了 比 包 过 滤 防 火 墙 更 进一步 的 网 络 安全 性 。 

进行 IPSec 处 理 意味 着 对 卫 数据 包 进 行 加 密 和 认证 。 包 过 滤 防 火 墙 只 能 控制 来 自 或 去 
往 某 个 站 点 的 人 P 数据 包 的 通过 ， 可 以 拒绝 来 自 某 个 外 部 站 点 的 IP 数据 包 访 问 内 部 某 些 站 
点 ， 也 可 以 拒绝 某 个 内 部 站 点 方 对 某 些 外 部 网 站 的 访问 。 但 是 包 过 滤 防 火 墙 不 能 保证 自 内 
部 网 络 出 去 的 数据 包 不 被 截取 ， 也 不 能 保证 进入 内 部 网 络 的 数据 包 未 经 过 算 改 。 只 有 在 对 
JP 数据 包 实施 了 加 密 和 认证 后 ， 才 能 保证 在 外 部 网 络 传输 的 数据 包 的 机 密 性 、 真 实 性 、 完 
整 性 ， 通 过 Internet 进行 安全 的 通信 才 成 为 可 能 。 

S. IPSec VPN 的 优 缺 点 

1) IPSec VPN 的 优点 

(1) IPSec 是 与 应 用 无 关 的 技术 ,因此 IPSec VPN 的 客户 端 支持 所 有 他 层 协议 。IPSec 
在 传输 层 之 下 ， 对 于 应 用 程序 来 说 是 透明 的 。 当 在 路 由 器 或 防火 墙 上 安装 IPSec 时 ， 无 须 
更 改 用 户 或 服务 器 系统 中 的 软件 设置 。 即 使 在 终端 系统 中 执行 IPSec， 应 用 程序 一 类 的 上 
层 软件 也 不 会 被 影响 。 

(2) IPSec 技术 中 ， 客 户 端 至 站 点 〈Client to Site)、 站 点 对 站 点 〈Siteto Site)、 客 户 端 
至 客户 端 (Client to Client) 连接 所 使 用 的 技术 是 完全 相同 的 。 

(3) IPSec VPN 安全 性 能 高 。 因 为 IPSec 安全 协议 是 工作 在 网 络 层 的 ， 不 仅 所 有 网 络 
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通道 都 是 加 密 的 ， 而 且 在 用 户 访 问 所 有 企业 资源 时 ， 就 像 采 用 专线 方式 与 企业 网 络 直接 物 
理 连 接 一 样 。IPSec 不 单单 将 正在 通信 的 很 少 一 部 分 通道 加 密 ， 对 所 有 通道 都 会 进行 加 密 。 
另外 ，IPSec VPN 还 要 求 在 远程 接 入 客户 端 适当 安装 和 配置 IPSec 客户 端 软件 和 接 入 设备 ， 
这 大 大 提高 了 安全 级 别 ， 因 为 访问 受到 特定 的 接 入 设备 、 软 件 客户 端 、 用 户 认 证 机 制 和 预 
定义 安全 规则 的 限制 。 

2) IPSec VPN 的 缺点 

(1) IPSec VPN 通信 性 能 低 。 由 于 IPSec VPN 在 安全 性 方面 比较 高 ， 影 响 了 它 的 通信 
性 能 。 

(2) IPSec VPN 需要 客户 端 软件 。 在 IPSec VPN 中 需要 为 每 个 客户 端 安装 特殊 用 途 的 
客户 端 软件 ， 用 这 些 软件 来 替换 或 者 增加 客户 系统 的 TCP/IP 堆栈 。 在 许多 系统 中 ， 这 就 
可 能 带 来 了 与 其 他 系统 软件 之 间 兼 容 性 问题 的 风险 。 解 决 IPSec 协议 的 这 一 兼容 性 问题 目 
前 还 缺乏 一 致 的 标准 ， 几 乎 所 有 的 IPSec 客户 端 软 件 都 是 专 有 的 ， 这 些 软件 互 不 兼容 。 在 
另 一 些 情形 中 ，IPSec 安全 协议 是 运行 在 网 络 硬件 应 用 中 ， 在 这 种 解决 方案 中 大 多 数 要 求 
通信 双方 所 采用 的 硬件 是 相同 的 ，IPSec 协议 在 硬件 应 用 中 同样 存在 着 兼容 性 方面 的 问题 。 
并 且 ，IPSec 客户 端 软件 在 桌面 系统 中 的 应 用 受到 限制 。 其 限制 了 用 户 使 用 的 灵活 性 ， 在 
没有 安装 IPSec 客户 端的 系统 中 ， 远 程 用 户 不 能 通过 网 络 进行 VPN 连接 。 

(3) 安装 和 维护 困难 。 采 用 IPSec VPN 必须 为 每 一 个 需要 接 入 的 用 户 安装 VPN 客户 
端 ， 因 此 支持 费用 很 高 。 有 些 终端 用 户 是 移动 的 ， 这 不 像 IPSec VPN 最 初 设计 主要 用 于 连 
接 远程 办 公 地 点 。 今 天 的 用 户 希 望 能 在 不 同 的 台式 机 和 网 络 上 自由 移动 。 如 果 采 用 IPSec 
VPN 就 不 得 不 为 每 一 个 台式 机 提供 客户 端 。 这 些 客户 端 因为 环境 和 网 络 的 不 同 而 配置 各 
异 。 那 些 要 求 从 各 个 不 同 的 地 方 访问 公司 的 用 户 需 要 时 常 修改 配置 ， 这 无 形 中 提高 了 支持 
费用 。 部 署 IPSec VPN 后 ， 如 果 用 户 没有 预先 在 计算 机 上 安装 客户 端 ， 他 将 不 能 访问 所 需 
要 的 资源 。 这 就 意味 着 对 于 办 公 地 点 经 常 变动 的 员工 ， 当 他 们 想 从 家 里 的 计算 机 、 机 场 提 
供 的 计算 机 或 任何 其 他 非 本 人 的 计算 机 上 访问 公司 的 资源 时 ， 或 者 无 法 成 功 ， 或 者 需要 致 
电 向 公司 寻求 帮助 。 

(4) 实际 全 面 支持 的 系统 比较 少 。 虽 然 已 有 许多 开发 的 操作 系统 提出 对 IPSec 协议 的 
支持 ， 但 是 在 实际 应 用 中 IPSec 安全 协议 客户 的 计算 机 通常 只 运行 于 Windows 系统 ， 很 少 
有 能 运行 在 其 他 PC 系统 平台 的 ， 如 Mac、Linux、Solaris 等 。 

(5) 不 易 解决 网 络 地址 转换 和 穿越 防火 墙 的 问题 。IPSec VPN 产品 并 不 能 很 好 地 解决 
包括 网 络 地 址 转换 、 防 火 墙 穿越 和 宽带 接 入 在 内 的 复杂 的 远程 访问 问题 。 例 如 ， 如 果 一 个 
用 户 已 经 安装 了 IPSec 客户 端 ， 但 他 仍然 不 能 在 其 他 公司 的 网 络 内 接 入 互联 网 ，IPSec 会 
被 那个 公司 的 防火 墙 阻止 ， 除 非 该 用 户 和 这 个 公司 的 网 络 管理 员 协 商 ， 在 防火 墙 上 打开 另 
一 个 端口 。 同 样 的 困难 也 出 现在 无 线 接 入 点 。 由 于 许多 的 无 线 接 入 点 使 用 NAT， 非 专业 的 
IPSec 使 用 者 如 果 不 寻 求 公 司 技术 人 员 的 支持 ， 不 去 更 改 一 些 配置 ， 常 常 不 能 建立 连接 。 


8.2.2 SSL VPN 


1. SSL 
SSL (Secure Socket Layer) 是 Netscape 研发 的 ， 用 来 保障 在 Intermet 上 数据 传输 的 安 
全 。 利 用 数据 加 密 技术 可 确保 数据 在 网 络 上 传输 的 过 程 中 不 会 被 截取 及 窃听 。 目 前 一 般 通 


用 规格 为 40 位 的 安全 标准 ， 美 国 则 已 推出 128 位 的 更 高 安全 标准 ， 但 限制 出 境 。 只 要 3.0 
版 本 以 上 的 下 或 Netscape 浏览 器 即 可 支持 SSL。 它 已 被 广泛 地 用 于 Web 浏览 器 与 服务 器 
之 间 的 身份 认证 和 加 密 数据 传输 。 

SSL 协议 位 于 TCP/IP 协议 与 各 种 应 用 层 协议 之 间 ， 为 数据 通信 提供 安全 支持 。SSL 
协议 可 分 为 两 层 :SSL 记录 协议 ， 建 立 在 可 靠 的 传输 协议 (如 TCP) 之 上 ， 为 高 层 协 议 
提供 数据 封装 、 压 缩 、 加 密 等 基本 功能 的 支持 ; SSL 握手 协议 , 建立 在 SSL 记录 协议 之 上 ， 
用 于 在 实际 的 数据 传输 开始 前 ,通信 双方 进行 身份 认证 、 协 商 加 密 算法 、 交 换 加 密 密 钥 等 。 

(1) SSL 协议 提供 的 服务 主要 有 : 

@ 认证 用 户 和 服务 器 ， 确 保 数据 发 送 到 正确 的 客户 端 和 服务 器 。 

@ 加 密 数 据 以 防止 数据 中 途 被 窃取 。 

@ 维护 数据 的 完整 性 ， 确 保 数据 在 传输 过 程 中 不 被 改变 。 

(2) SSL 协议 的 工作 流程 : 

@ 客户 端 向 服务 器 发 送 一 个 开始 信息 Hello 以 便 开 始 一 个 新 的 会 话 连接 。 

@ 服务 器 根据 客户 的 信息 确定 是 否 需 要 生成 新 的 主 密 钥 ， 如 需要 则 服务 器 在 响应 客 
户 的 Hello 信息 时 将 包含 生成 主 密 钥 所 需 的 信息 。 

@ 客户 根据 收 到 的 服务 器 响应 信息 产生 一 个 主 密 钥 ， 并 用 服务 器 的 公开 密 钥 加 密 后 
传 给 服务 器 。 

@ 服务 器 恢复 该 主 密 铀 ， 并 返回 给 客户 一 个 用 主 密 钥 认证 的 信息 ， 以 此 让 客户 认证 
服务 器 。 

@ 经 认证 的 服务 器 发 送 一 个 提问 给 客户 ， 客 户 则 返回 (数字 ) 签名 后 的 提问 和 其 公 
开 密 钥 ， 从 而 向 服务 器 提供 认证 。 

从 SSL 协议 所 提供 的 服务 及 其 工作 流程 可 以 看 出 , SSL 协议 运行 的 基础 是 商家 对 消费 
者 信息 保密 的 承诺 ， 这 就 有 利于 商家 而 不 利于 消费 者 。 在 电子 商务 初级 阶段 ， 由 于 运作 电 
子 商务 的 企业 大 多 是 信誉 较 高 的 大 公司 ， 因 此 这 个 问题 还 没有 充分 暴露 出 来 。 但 随 着 电子 
商务 的 发 展 ， 各 中 小 型 公司 也 参与 进来 ， 这 样 在 电子 支付 过 程 中 的 单一 认证 问题 就 越 来 越 
突出 。 虽 然 在 SSL3.0 中 通过 数字 签名 和 数字 证 书 可 实现 浏览 器 和 Web 服务 器 双方 的 身份 
验证 ,但 是 SSL 协议 仍 存在 一 些 问题 ， 如 只 能 提供 交易 中 客户 与 服务 器 间 的 双方 认证 ， 在 
涉及 多 方 的 电子 交易 中 ，SSL 协议 并 不 能 协调 各 方 间 的 安全 传输 和 信任 关系 。 在 这 种 情况 
下 ，Visa 和 MasterCard 两 大 信用 卡 公司 组 织 制定 了 SET 协议 ， 为 网 上 信用 卡 支付 提供 了 
全 球 性 的 标准 。 

2. HTTPS 

HTTPS (Secure Hypertext Transfer Protocol， 安 全 超 文 本 传输 协议 ) 由 Netscape 开发 并 
内 置 于 其 浏览 器 中 ， 用 于 对 数据 进行 压缩 和 解压 操作 ， 并 返回 网 络 上 传送 回 的 结果 ， 它 提 
供 了 身份 验证 与 加 密 通信 方法 。 现 在 它 被 广泛 应 用 于 万 维 网 上 安全 敏感 的 通信 ， 例 如 交易 
支付 方面 。HTTPS 实际 上 应 用 了 Netscape 的 完全 套 接 字 层 (SSL) 作为 HTTP 应 用 层 的 子 
层 (HTTPS 默认 使 用 端口 443)。SSL 使 用 40 位 关键 字 作 为 RC4 流 加 密 算法 ， 这 对 于 商业 
信息 的 加 密 是 合适 的 。 HTTPS 和 SSL 支持 使 用 X.509 数字 认证 , 如 果 需 要 的 话 用 户 可 以 确 
认 发 送 者 是 谁 。 

HTTPS 是 以 安全 为 目标 的 HITP 通道 , 简单 来 讲 是 HTTP 的 安全 版 。 即 HITP 下 加 入 
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SSL 层 ，HTTPS 的 安全 基础 是 SSL。 也 就 是 说 它 的 主要 作用 可 以 分 为 两 种 : 一 种 是 建立 一 
个 信息 安全 通道 来 保证 数据 传输 的 安全 ; 另 一 种 就 是 确认 网 站 的 真实 性 。 凡 是 使 用 了 https 
的 网 站 都 可 以 通过 点 击 浏览 器 地 址 栏 的 锁 头 标志 来 查看 网 站 认证 之 后 的 真实 信息 ， 也 可 以 
通过 CA 机 构 颁 发 的 安全 签 章 来 查询 。 

由 于 HTTPS 和 HTTP 是 不 同 的 协议 ， 因 此 必须 使 用 不 同 的 端口 。 众 所 周知 ，HTTP 端 
口 是 80， 而 HITPS 端口 是 443。 

3. SSL VPN 的 特性 

到 目前 为 止 , SSL VPN 是 解决 远程 用 户 访问 敏感 公司 数据 最 简单 、 最 安全 的 解决 技术 。 
与 复杂 的 IPSec VPN 相 比 ，SSL 通过 简单 易 用 的 方法 实现 信息 远程 连通 。 任 何 安装 浏览 
的 机 器 都 可 以 使 用 SSL VPN， 这 是 因为 SSL 内 和 嵌 在 浏览 器 中 ， 它 不 需要 像 传 统 IPSec VPN 
一 样 必须 为 每 一 台 客 户 端 安装 客户 端 软件 。 这 一 点 对 于 拥有 大 量 机 器 〈 包 括 家 用 机 、 工 作 
机 和 客户 机 等 ) 需要 与 公司 机 密 信息 相连 接 的 用 户 至 关 重 要 。 人 们 普遍 认为 它 将 成 为 安全 
远程 访问 的 新 生 代 。 

一 般 而 言 ，SSL VPN 具备 两 个 最 基本 的 特性 : 

(1) 使 用 SSL 协议 进行 认证 和 加 密 。 由 于 SSL 协议 本 身 就 是 一 种 安全 技术 ,因此 SSL 
VPN 就 具有 防止 信息 泄露 、 拒 绝 非法 访问 、 保 护 信息 的 完整 性 、 防 止 用 户 假冒 、 保 证 系统 
的 可 用 性 的 特点 ， 能 够 进一步 保障 访问 安全 ， 从 而 扩充 了 安全 功能 设施 。SSL VPN 可 以 实 
现 128 位 数据 加 密 ， 保 证 数据 在 传输 过 程 中 不 被 窃取 ， 确 保 ERP 数据 传输 的 安全 性 。 多 种 
认证 和 授权 方式 的 使 用 能 够 只 让 “正确 ”的 用 户 访问 内 部 网 络 ， 从 而 保护 了 企业 内 部 网 络 
的 安全 性 。 没 有 采用 SSL 协议 的 VPN 产品 自然 不 能 称 为 SSL VPN， 其 安全 性 也 需要 进 一 
步 考证 。 

(2) 直接 使 用 浏览 器 完成 操作 ， 无 须 安装 独立 的 客户 端 。SSL VPN 不 需要 安装 客户 端 
软件 。 远 程 用 户 只 需 借助 标准 的 浏览 器 连接 Intemet 即 可 访问 企业 的 网 络 资源 。 这 样 ， 尽 
管 购买 软件 和 硬件 的 费用 不 一 定 低 ， 但 是 SSL VPN 的 部 署 成 本 却 很 低 。 只 要 安装 了 SSL 
VPN, 基本 上 就 不 需要 IT 部 门 的 支持 了 ,所 以 维护 成 本 可 以 忽略 不 计 。 对 于 那些 只 需 进入 
企业 内 部 网 站 或 者 进行 E-mail 通信 的 远程 用 户 来 说 ，SSL VPN 显然 是 一 个 物美 价 廉 的 选 
择 。 如 果 使 用 了 SSL 协议 , 但 仍然 需要 分 发 和 安装 独立 的 VPN 客户 端 (如 Open VPN) 不 
能 称 为 SSL VPN， 否 则 就 失去 了 SSL VPN 易于 部 署 ， 免 维护 的 优点 了 。 

此 外 ，SSL VPN 连接 要 比 IPSec VPN 更 稳定 ， 这 是 因为 IPSec VPN 是 网 络 层 连接 ， 故 
容易 中 断 。 除 此 之 外 ， 在 管理 维护 和 操作 性 方面 ，SSL VPN 方案 可 以 做 到 基于 应 用 的 精细 
控制 ,基于 用 户 和 组 赋予 不 同 的 应 用 访问 权限 ,并 对 相关 访问 操作 进行 审计 。 此 外 ,SSL VPN 
还 提高 了 平台 的 灵活 性 ， 方 便 扩展 应 用 和 增强 性 能 ， 尤 其 是 在 降低 使 用 成 本 、 最 有 效 地 保 
护 用 户 投资 这 一 敏感 话题 上 ，SSL VPN 赢得 了 用 户 最 终 的 好 感 。 

更 值得 一 提 的 是 ， 当 今 Web 成 为 标准 平台 已 势不可挡 ， 越 来 越 多 的 企业 开始 将 系统 移 
植 到 Web 上 。 而 SSL VPN 通过 特殊 的 加 密 通信 协议 ， 被 认为 是 实现 远程 安全 访问 Web 应 
用 的 最 佳 手段 ， 能 够 让 用 户 随时 随地 甚至 在 移动 中 连 入 企业 内 网 ， 将 给 企业 带 来 很 高 的 利 
益 和 方便 。 无 疑 ， 伴 随 企 业 信息 化 程度 的 加 深 ， 远程 安全 访问 、 协 同 工 作 的 需求 会 日 益 明 
显 ，SSL VPN 技术 拥有 更 加 全 方位 的 优势 。 


4. SSLVPN 的 优 缺 点 

1) SSLVPN 的 主要 优点 

(1) 无 须 安装 客户 端 软件 。 大 多 数 执行 基于 SSL 协议 的 远程 访问 是 不 需要 在 远程 客户 
端 设备 上 安装 软件 的 。 只 需 通过 标准 的 Web 浏览 器 连接 因特网 ， 即 可 以 通过 网 页 访问 到 企 
业 总 部 的 网 络 资源 。 这 样 ， 无 论 是 从 软件 协议 购买 成 本 上 ， 还 是 从 维护 、 管 理 成 本 上 都 可 
以 节省 一 大 笔 资 金 ， 特 别 是 对 于 大 、 中 型 企业 和 网 络 服务 提供 商 。 

(2) 适用 大 多 数 设备 。 基 于 Web 访问 的 开放 体系 可 以 在 运行 标准 的 浏览 器 下 访问 任何 
设备 , 包括 非 传统 设备 , 如 可 以 上 网 的 电话 和 PDA 通信 产品 。 这 些 产品 目前 正在 逐渐 普及 ， 
因为 它们 在 不 进行 远程 访问 时 也 是 一 种 非常 理想 的 现代 时 尚 产品 。 

(3) 适用 于 大 多 数 操作 系统 。 可 以 运行 标准 的 因特网 浏览 器 的 大 多 数 操作 系统 都 可 以 
用 来 进行 基于 Web 的 远程 访问 ,不 管 操 作 系 统 是 Windows、Macintosh、UNIX 还 是 Linux。 
可 以 对 企业 内 部 网 站 和 Web 站 点 进行 全 面 的 访问 。 用 户 可 以 非常 容易 地 得 到 基于 企业 内 部 
网 站 的 资源 并 进行 应 用 。 

(4) 支持 网 络 驱动 器 访问 。 用 户 通 过 SSL VPN 通信 可 以 访问 在 网 络 驱 动 器 上 的 资源 。 

(5) 良好 的 安全 性 。 用 户 通过 基于 SSL 的 Web 访问 并 不 是 网 络 的 真实 节点 ， 就 像 
IPSec 安全 协议 一 样 ， 而 且 还 可 代理 访问 公司 内 部 资源 。 因 此 ， 这 种 方法 非常 安全 ， 特 别 
是 对 于 外 部 用 户 的 访问 。 

(6) 较 强 的 资源 控制 能 力 。 基 于 Web 的 代理 访问 允许 公司 为 远程 访问 用 户 进行 详尽 的 
资源 访问 控制 。 

(7) 减少 费用 。 基 于 SSL 的 VPN 网 络 可 以 非常 经 济 地 为 那些 简单 远程 访问 用 户 ( 仅 
需 进入 公司 内 部 网 站 或 者 进行 E-mail 通信 )， 提 供 远 程 访问 服务 。 

(8) 可 以 绕 过 防火 墙 和 代理 服务 器 进行 访问 。 基 于 SSL 的 远程 访问 方案 中 ,使 用 NAT 
(网 络 地 址 转换 ) 服务 的 远程 用 户 或 者 因特网 代理 服务 的 用 户 可 以 从 中 受益 , 因为 这 种 方案 
可 以 绕 过 防火 墙 和 代理 服务 器 访问 公司 资源 ， 这 是 采用 基于 IPSec 安全 协议 的 远程 访问 很 
难 或 者 根本 做 不 到 的 。 

2) SSL VPN 的 缺点 

(1) 必须 依靠 因特网 进行 访问 。 为 了 通过 SSL VPN 进行 远程 工作 ， 当 前 必须 与 因特网 
保持 连通 性 。 因 为 此 时 Web 浏览 器 实质 上 是 扮演 客户 服务 器 的 角色 ， 远 程 用 户 的 Web 浏 
览 器 依靠 公司 的 服务 器 进行 所 有 进程 。 正 因 如 此 ， 如 果 因 特 网 没有 连通 ， 远 程 用 户 就 不 能 
与 总 部 网 络 进行 连接 ， 只 能 单独 工作 。 

(2) 对 新 的 或 者 复杂 的 Web 技术 提供 有 限 支持 。 基 于 SSL 的 VPN 方案 是 依赖 于 反 代 
理 技术 来 访问 公司 网 络 的 。 因 为 远程 用 户 是 从 公用 因特网 来 访问 公司 网 络 的 ， 而 公司 内 部 
网 络 信息 通常 不 仅 是 处 于 防火 墙 后 面 , 而 且 是 处 于 没有 内 部 网 卫 地 址 路 由 表 的 空间 中 。 反 
代理 的 工作 就 是 翻译 出 远程 用 户 Web 浏览 器 的 需求 , 通常 使 用 常见 的 URL 地 址 重 写 方法 。 
例如 ， 内 部 网 站 也 许 使 用 内 部 DNS 服务 器 地 址 链接 到 其 他 的 内 部 网 链接 ， 而 URL 地 址 重 
写 必须 完全 正确 地 读 出 以 上 链接 信息 , 并 且 重 写 这 些 URL 地 址 , 以 便 这 些 链 接 可 以 通过 反 
代理 技术 获得 路 由 。 当 有 需要 时 ， 远 程 用 户 可 以 轻松 地 通过 点 击 路 由 进入 公司 内 部 网 络 。 
对 于 URL 地 址 重 写 器 完全 正确 理解 所 传输 的 网 页 结构 是 极其 重要 的 ,只 有 这 样 才 可 正确 显 
示 重 写 后 的 网 页 ， 并 在 远程 用 户 计 算 机 浏览 器 上 进行 正确 的 操作 。 
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(3) 只 能 有 限 地 支持 Windows 应 用 或 者 其 他 非 Web 系统 。 因 为 大 多 数 基于 SSL 的 
VPN 都 是 基于 Web 浏览 器 工作 的 ， 远 程 用 户 不 能 在 Windows、UNIX、Linux、AS400 或 
者 大 型 系统 上 进行 非 基 于 Web 界面 的 应 用 。 虽 然 有 些 SSL 提供 商 已 经 开始 合并 终端 服务 
来 提供 上 述 非 Web 应 用 ， 但 不 管 如 何 ， 目 前 SSL VPN 还 未 对 其 进行 全 面 支持 。 

(4) 只 能 为 访问 资源 提供 有 限 安全 保障 。 当 使 用 基于 SSL 协议 通过 Web 浏览 器 进行 
VPN 通信 时 ， 对 用 户 来 说 外 部 环境 并 不 是 完全 安全 、 可 达到 无 颖 连接 的 。 因 为 SSL VPN 
只 对 通信 双方 的 某 个 应 用 通道 进行 加 密 ， 而 不 是 对 在 通信 双方 的 主机 之 间 的 整个 通道 进行 
加 密 。 在 通信 时 ,在 Web 页 面 中 呈现 的 文件 很 难 也 基本 上 无 法 保证 只 出 现 类 似 于 上 传 的 文 
件 和 邮件 附件 等 简单 的 文件 ， 这 样 就 很 难保 证 其 他 文件 不 被 暴露 在 外 部 ， 存 在 一 定 的 安全 
隐患 。 


8.2.3 MPLS VPN 


MPLS (Multi-Protocol Label Switch) 是 Internet 核心 多 层 交 换 计 算 的 最 新 发 展 。MPLS 
将 转发 部 分 的 标记 交换 和 控制 部 分 的 了 P 路 由 组 合 在 一 起 ， 加 快 了 转发 速度 。 而 且 ，MPLS 
可 以 运行 在 任何 链接 层 技术 之 上 ， 从 而 简化 了 向 基于 SONET/WDM 和 IP/WDM 结构 的 下 
一 代 Internet 的 转化 。 

MPLS VPN 是 一 种 基于 MPLS 技术 的 耳 VPN, 是 在 网 络 路 由 和 交换 设备 上 应 用 MPLS 
技术 , 简化 核心 路 由 器 的 路 由 选择 方式 , 利用 结合 传统 路 由 技术 的 标记 交换 实现 的 他 虚拟 
专用 网 络 (IP VPN)， 可 用 来 构造 宽带 的 Intranet、Extranet， 满 足 多 种 灵活 的 业务 需求 。 

1. MPLS VPN 接 入 技术 

MPLS VPN 网 络 主要 由 CE、PE 和 P 三 个 部 分 组 成 。 

。 CE (Customer Edge Router)。 用 户 网 络 边 缘 路 由 器 设备 ， 直 接 与 服务 提供 商 网 络 相 

连 ， 它 “感知 ”不 到 VPN 的 存在 。 

。 PE (Provider Edge Router)。 服 务 提供 商 边缘 路 由 器 设备 ， 与 用 户 的 CE 直接 相连 ， 

负责 VPN 业务 接 入 ， 处 理 VPN-IPv4 路 由 ， 是 MPLS 三 层 VPN 的 主要 实现 者 。 

。 P (Provider Router)。 服 务 提供 商 核心 路 由 器 设备 ， 负 责 快 速 转发 数据 ， 不 与 CE 

直接 相连 。 

在 整个 MPLS VPN 中 ，P、PE 设备 需要 支持 MPLS 的 基本 功能 ，CE 设备 不 必 支 持 
MPLS。MPLS VPN 的 网 络 采 用 标签 交换 ， 一 个 标签 对 应 一 个 用 户 数据 流 ， 非 常 易 于 用 户 
间 数 据 的 隔离 ,利用 区 分 服务 体系 可 以 轻易 地 解决 困扰 传统 卫 网 络 的 QoS/CoS 问题 .MPLS 
自身 提供 流量 工程 的 能 力 ， 可 以 最 大 限度 地 优化 配置 网 络 资源 ， 自 动 快 速 修复 网 络 故障 ， 
提供 高 可 用 性 和 高 可 靠 性 。MPLS 提供 了 电信 、 计 算 机 、 有 线 电视 网 络 三 网 融合 的 基础 ， 
是 可 以 提供 高 质量 的 数据 、 语 音 和 视频 相 融 合 的 多 业务 传送 、 包 交换 的 网 络 平台 。 因 此 ， 
基于 MPLS 技术 的 MPLS VPN 在 灵活 性 、 扩 展 性 、 安 全 性 等 各 个 方面 是 当前 技术 最 先进 的 
VPN。 此 外 ，MPLS VPN 提供 灵活 的 策略 控制 ， 可 以 满足 不 同 用 户 的 特殊 要 求 ， 快 速 实现 
增值 服务 (VAS)， 在 带宽 价格 比 、 性 能 价格 比 上 ， 相 比 其 他 广 域 VPN 也 具有 较 大 的 优势 。 

就 未 来 的 发 展 趋势 来 看 ，MPLS 在 光 网 络 的 扩展 (Generalized MPLS，GMPLS) 已 经 
成 为 自动 交换 光 网 络 ASON 的 基本 控制 协议 组 ， 从 而 使 未 来 运营 可 以 考虑 架构 在 GMPLS 
基础 上 的 一 层 或 零 层 的 OVPN (Optical VPN)。 


2. MPLS VPN 的 应 用 

采用 MPLS VPN 技术 可 以 把 现 有 卫 网 络 分 解 成 逻辑 上 隔离 的 网 络 ， 这 种 钦 辑 上 隔离 
的 网 络 的 应 用 可 以 是 千变万化 的 : 可 以 是 用 在 解决 企业 互 连 、 政 府 相同 /不 同 部 门 的 互 连 ， 
也 可 以 用 来 提供 新 的 业务 ， 如 为 P 电话 业务 专门 开通 一 个 VPN。 

例如 ， 用 MPLS VPN 构建 运营 支撑 网 ， 利 用 MPLS VPN 技术 可 以 在 一 个 统一 的 物理 
网 络 上 实现 多 个 逻辑 上 相互 独立 的 VPN 专 网 。 该 特性 非常 适合 于 构建 运营 支撑 网 。 例 如 ， 
目前 国内 很 多 省 市 的 DCN 网 就 采用 华为 的 设备 , 在 一 个 统一 的 物理 网 络 上 构建 网 管 、 OA、 
计 费 等 多 个 业务 专 网 。 

(1) MPLS VPN 在 与 运营 商城 域 网 的 应 用 。 

作为 运营 商 的 基础 网 络 ， 宽 带 城 域 网 需 同时 服务 多 种 不 同 的 用 户 ， 承 载 多 种 不 同 的 业 
务 , 存在 多 种 接 入 方式 , 这 一 特点 决定 城 域 网 需 同时 支持 MPLS L3VPN, MPLS L2VPN 及 
其 他 VPN 服务 。 根 据 网 络 实际 情况 及 用 户 需 求 开通 相应 的 VPN 业务 ， 例 如 为 用 户 提供 
MPLS L2VPN 服务 以 满足 用 户 节约 专线 租用 费用 的 要 求 。 

(2) MPLS VPN 在 企业 网 络 的 应 用 。 

MPLS VPN 在 企业 网 中 同样 有 广泛 应 用 。 例 如 ， 在 电子 政务 网 中 ， 不 同 的 政府 部 门 有 
着 不 同 的 业务 系统 ， 各 系统 之 间 的 数据 多 数 是 要 求 相 互 隔离 的 ， 同 时 各 业务 系统 之 间 又 存 
在 着 互 访 的 需求 ， 因 此 大 量 采用 MPLS VPN 技术 实现 这 种 隔离 及 互 访 需求 。 

MPLS VPN 引起 了 全 球 运 营业 的 普遍 关注 。 国外 大 的 运营 商 如 AT&T、Sprint、 Verizon、 
BellSouth、NTT 都 已 经 开始 应 用 MPLS 网 络 。 我 国运 营 商 中 最 早 推 出 MPLS VPN 业务 的 
是 中 国 网 通 ,推出 时 间 为 2002 年 6 月 。 随 着 市 场 前 景 的 日 益 看 好 ， 中国 电信、 中 国 铁通 也 
开始 提供 这 项 服务 ， 后 来 国家 对 电信 业 重 组 改制 ， 国 家 工信部 批准 了 南 凌 科技 、 第 一 线 通 
信 、 中 企 通 信 、 天 维 信 通 这 样 的 民营 企业 进入 通信 市 场 ， 引入 竞争 机 制 ， 使 国内 的 人 VPN 
业务 得 到 了 良性 的 发 展 。 此 外 ,一 些 跨国 运营 商 也 开始 关注 中 国 市 场 ， 围 绕 MPLS VPN 业 
务 的 竞争 正在 中 国 市 场 上 逐渐 升温 。 

2002 年 ， 中 国 网 通 〈 现 已 并 入 联通 ) 成 为 中 国 首 个 在 全 国 范围 内 提供 全 程 全 网 、 端 到 
端的 宽带 MPLS VPN 业务 的 电信 运营 商 。 网 通 的 统计 数据 表明 , MPLS VPN 接 入 技术 如 今 
是 中 国 网 通 所 有 国际 产品 中 增长 最 快 的 业务 ， 目 前 的 业务 量 月 均 增长 率 在 25% 左 右 ， 年 增 
长 率 高 达 300%。 

2004 年 年 初 ， 美 国 全 国 性 运营 商 Sprint 推出 针对 企业 用 户 的 MPLS VPN 业务 。 至 此 ， 
Sprint 已 经 拥有 了 数据 网 互联 方面 所 有 的 服务 产品 ,包括 原 有 的 传统 专用 线 、 帧 中 继 、ATM、 
JP 接 入 等 ,在 接 下 来 的 两 年 里 ,Sprint 希 望 在 自己 的 专 有 于 网 和 全 球 他 平台 上 都 采用 MPLS 
VPN 接 入 技术 ， 并 且 集 成 以 前 的 Intemet 接 入 和 远程 接 入 服务 。 

8.2.4 SSL VPN、IPSec YPN、MPLS VPN 比较 

1. 协议 层次 不 同 

IPSec 协议 是 网 络 层 协议 ， 是 为 保障 下 通信 而 提供 的 一 系列 协议 徐 。SSL 是 套 接 层 协 
议 ， 它 是 保障 在 Intemet 上 基于 Web 的 通信 安全 而 提供 的 协议 。MPLS VPN 是 以 标签 交换 
作为 底层 转发 机 制 的 协议 。 
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2. 加 密 方式 不 同 

IPSec 针对 数据 在 通过 公共 网 络 时 的 数据 完整 性 、 安 全 性 和 合法 性 等 问题 设计 了 一 整 
套 隧 道 加 密 和 认证 方案 。IPSec 为 Pv4/TPv6 网 络 提供 能 共同 操作 、 使 用 的 、 高 品质 的 、 基 
于 加 密 的 安全 机 制 ， 提 供 包 括 存 取 控制 、 无 连接 数据 的 完整 性 、 数 据 源 认 证 、 防 止 重 发 攻 
击 、 基 于 加 密 的 数据 机 密 性 和 受 限 数 据 流 的 机 密 性 服务 。 

SSL 用 公 钥 加 密 通 过 SSL 连接 传输 的 数据 来 工作 。SSL 是 一 种 高 层 安 全 协议 ， 建 立 在 
应 用 层 上 。SSL VPN 使 用 SSL 协议 和 代理 为 终端 用 户 提供 客户 端 / 服务 器 和 共享 的 文件 资 
源 的 访问 认证 和 访问 安全 。SSL VPN 传递 用 户 层 的 认证 ,确保 只 有 通过 安全 策略 认证 的 用 
户 可 以 访问 指定 的 资源 。 

MPLS 是 一 个 可 以 在 多 种 第 二 层 媒 质 上 进行 标记 交换 的 网 络 技术 。 不 论 什么 格式 的 数 
据 均 可 以 第 三 层 的 路 由 在 网 络 的 边缘 实施 ， 而 在 MPLS 的 网 络 核心 采用 第 二 层 交 换 ， 因 此 
可 以 用 一 句 话 概括 MPLS 的 特点 :“ 边 缘 路 由 ,核心 交换 ”。 由 于 所 有 支持 TCP / IP 协议 的 
主机 进行 通信 时 都 要 经 过 IP 层 的 处 理 ， 因 此 提供 了 IP 层 的 安全 性 就 相当 于 为 整个 网 络 提 
供 了 安全 通信 的 基础 。 


8.3 VPN 采用 的 安全 技术 


VPN 主要 采用 4 项 技术 来 保证 安全 ， 这 4 项 技术 分 别 为 隧道 技术 、 加 密 技术 、 密 钥 管 
理 技 术 和 使 用 者 与 设备 身份 认证 技术 。 


8.3.1 隧道 技术 


隧道 技术 的 早期 使 用 与 互联 网 络 有 关 , 但 与 VPN 几乎 没有 关联 。 隧道 概念 最 早 在 1981 
年 9 月 的 RFC791 中 提出 ， 其 应 用 场景 是 针对 互联 网 络 中 制定 路 由 设备 的 多 点 数据 包 传输 
加 密 设计 。1994 年 10 月 , RFC1700 发 布 它 的 分 配 编号 一 一 STD2。 设 计 者 定义 一 个 人 到 人 P 
隧道 方法 。 同月， 作者 进一步 拓展 RFC1700 到 RFC1701, 发 布 通用 路 由 选择 封装 (GRE)。 
VPN 的 隧道 协议 簇 由 一 系列 的 协议 组 成 。 

隧道 技术 是 一 种 通过 使 用 互联 网 络 的 基础 设施 在 网 络 之 间 传 递 数据 的 方式 。 使 用 隧道 
传递 的 数据 (或 负载 ) 可 以 是 不 同 协议 的 数据 帧 或 包 。 隧 道 协议 将 其 他 协议 的 数据 帧 或 包 
重新 封装 ， 然 后 通过 隧道 发 送 。 新 的 帧 头 提供 路 由 信息 ， 以 便 通过 互联 网 传递 被 封装 的 负 
载 数据 。 

这 里 所 说 的 隧道 类 似 于 点 到 点 的 连接 。 这 种 方式 能 够 使 来 自 许 多 信息 源 的 网 络 业务 在 
同一 个 基础 设施 中 通过 不 同 的 隧道 进行 传输 。 隧 道 技术 使 用 点 对 点 通信 协议 代替 了 交换 连 
接 ， 通 过 路 由 网 络 来 连接 数据 地 址 。 隧 道 技术 允许 授权 移动 用 户 或 已 授权 的 用 户 在 任何 时 
间 、 任 何 地 点 访问 企业 网 络 。 

通过 隧道 的 建立 可 实现 : 

(1) 将 数据 流 强 制 送 到 特定 的 地 址 。 

(2) 隐藏 私有 的 网 络 地 址 。 

(3) 在 下 网 上 传递 非 人 数据 包 。 

(4) 提供 数据 安全 支持 。 


近来 出 现 了 一 些 新 的 隧道 技术 ， 并 在 不 同 的 系统 中 得 到 运用 和 拓展 。 为 创建 隧道 ， 隧 
道 的 客户 端 和 服务 器 双方 必须 使 用 相同 的 隧道 协议 。 隧 道 技术 可 分 别 以 第 二 层 或 第 三 层 隧 
道 协议 为 基础 。 第 二 层 隧 道 协议 对 应 于 OSI 模型 的 数据 链 路 层 , 使 用 帧 作为 数据 交换 单位 。 
PPTP 〈 点 对 点 隧道 协议 )、L2TP (第 二 层 隧道 协议 ) 和 L2F (第 三 层 转发 协议 ) 都 属于 第 
二 层 隧 道 协议 ， 是 将 用 户 数据 封装 在 点 对 点 协议 (PPP) 帧 中 通过 互联 网 发 送 。 第 三 层 隧 
道 协议 对 应 于 OSI 模型 的 网 络 层 ， 使 用 包 作 为 数据 交换 单位 。IPIP (IP over IP) 及 IPSec 
隧道 模式 属于 第 三 层 隧道 协议 ， 是 将 他 包 封 装 在 附加 的 他 包头 中 ,通过 IP 网 络 传送 。 无 
论 哪 种 隧道 协议 都 是 由 传输 的 载体 、 不 同 的 封装 格式 及 用 户 数 据 包 组 成 的 。 它 们 的 本 质 区 
别 在 于 用 户 的 数据 包 是 被 封装 在 哪 种 数据 包 中 再 在 隧道 中 传输 。 下 面 分 别 介绍 这 几 种 常用 
的 隧道 协议 。 

1. PPTP 

PPTP (Point to Point Tunneling Protocol， 点 对 点 隧道 协议 ) 提供 PPTP 客户 端 和 PPTP 
服务 器 之 间 的 加 密 通信 。PPTP 是 PPP 协议 的 一 种 扩展 ， 它 提供 了 一 种 在 互联 网 上 建立 多 
协议 的 安全 虚拟 专用 网 (VPN) 的 通信 方式 。 远 端 用 户 能 够 透 过 任何 支持 PPTP 的 ISP 访 
问 公司 的 专用 网 。 

通过 PPTP， 客 户 可 采用 拨号 方式 接 入 公用 IP 网 。 拨 号 用 户 首先 按 常 规 方 式 拨 到 ISP 
的 接 入 服务 器 (NAS)， 建 立 PPP 连接 ; 在 此 基础 上 ， 用 户 进行 二 次 拨号 建立 到 PPTP 服务 
器 的 连接 ， 该 连接 称 为 PPTP 隧道 ， 实 质 上 是 基于 IP 协议 的 另 一 个 PPP 连接 ， 其 中 的 IP 
包 可 以 封装 多 种 协议 数据 ， 包 括 TCP/IP、IPX 和 NetBEUI。PPTP 采用 了 基于 RSA 公司 
RC4 的 数据 加 密 方法 ， 保 证 了 虚拟 连接 通道 的 安全 。 对 于 直接 连 到 互联 网 的 用 户 则 不 需要 
PPP 的 拨号 连接 ， 可 以 直接 与 PPTP 服务 器 建立 虚拟 通道 。 PPTP 把 建立 隧道 的 主动 权 交 给 
了 用 户 ， 但 用 户 需要 在 其 PC 上 配置 PPTP， 这 样 做 既 增 加 了 用 户 的 工作 量 ， 又 会 给 网 络 带 
来 隐患 。 另 外 ，PPTP 只 支持 IP 作为 传输 协议 。 

2. L2F 

L2F (Layer Two Forwarding Protocol， 第 二 层 转 发 协议 ) 是 由 Cisco 公司 提出 的 可 以 在 
多 种 介质 ， 如 AIM、 帧 中 继 、IP 网 上 建立 多 协议 的 安全 虚拟 专用 网 的 通信 。 远 端 用 户 能 通 
过 任何 拨号 方式 接 入 公用 卫 网 ,首先 按 常 规 方式 拨 到 ISP 的 接 入 服务 器 (NAS ), 建立 PPP 
连接 ，NAS 根据 用 户 名 等 信息 建立 直达 HGW 服务 器 的 第 二 重 连接 。 在 这 种 情况 下 ， 隧 道 
的 配置 和 建立 对 用 户 是 完全 透明 的 。 

3. L2TP 

L2TP (Layer Two Tunneling Protocol， 第 二 层 隧道 协议 ) 结合 了 L2F 和 PPTP 的 优点 ， 
允许 用 户 从 客户 端 或 访问 服务 器 端 建立 VPN 连接 。L2TP 是 把 链 路 层 的 PPP 帧 装 入 公用 网 
络 设施 ， 如 一、AIM、 帧 中 继 中 进行 隧道 传输 的 封装 协议 。 

Cisco、Ascend、Microsoft 和 RedBack 公司 的 专家 们 在 修改 了 十 几 个 版 本 后 ， 终 于 在 
1999 年 8 月 公布 了 L2TP 的 标准 RFC2661。 目 前 用 户 拨号 访问 Intemet 时 必须 使 用 卫 协议 ， 
并 且 其 动态 得 到 的 IP 地 址 也 是 合法 的 。L2TP 的 好 处 在 于 支持 多 种 协议 ， 用 户 可 以 保留 原 
有 的 IPX、Appletalk 等 协议 或 公司 原 有 的 瑟 地 址 。L2TP 还 解决 了 多 个 PPP 链 路 的 捆绑 问 
题 ，PPP 链 路 捆绑 要 求 其 成 员 均 指向 同一 个 NAS，L2TP 则 允许 在 物理 上 连接 到 不 同 NAS 
的 PPP 链 路 ， 在 逻辑 上 的 终点 为 同一 个 物理 设备 。L2TP 扩展 了 PPP 连接 ， 在 传统 的 方式 
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中 用 户 通 过 模拟 电话 线 或 ISDN/ADSL 与 网 络 访问 服务 器 建立 一 个 第 二 层 的 连接 ， 并 在 其 
上 运行 PPP， 第 二 层 连接 的 终点 和 PPP 会 话 的 终点 均 设 在 同一 个 设备 上 (如 NAS)。L2TP 
作为 PPP 的 扩充 提供 了 更 强大 的 功能 , 包括 允许 第 二 层 连 接 的 终点 和 PPP 会 话 的 终点 分 别 
设 在 不 同 的 设备 上 。 

L2TP 主要 由 LAC (L2TP Access Concentrator) 和 LNS (L2TP Network Server) 构成 。 
LAC 支持 客户 端的 L2TP， 发 起 呼叫 ， 接 收 呼叫 和 建立 隧道 ，LNS 是 所 有 隧道 的 终点 。 在 
传统 的 PPP 连接 中 ， 用 户 拨 号 连接 的 终点 是 LAC， 而 L2TP 能 把 PPP 协议 的 终点 延伸 
到 LNS。 

用 户 通过 公用 电话 网 或 ISDN 拨号 呼叫 本 地 接 入 服务 器 LAC。LAC 接受 呼叫 并 进行 基 
本 的 识别 过 程 ， 这 一 过 程 可 以 采用 几 种 标准 ， 如 域名 、 呼 叫 线路 识别 〈CLID ) 或 拨号 ID 
业务 (DNIS) 等 

L2TP 方式 给 服务 提供 商 和 用 户 带 来 了 许多 方便 。 用 户 不 需要 在 PC 上 安装 专门 的 客户 
端 软件 ,企业 网 可 以 使 用 未 注册 的 下 地 址 ,并 在 本 地 管理 认证 数据 库 ， 从 而 降低 了 应 用 成 
本 和 培训 维护 费用 。 

与 PPTP 和 L2F 相 比 ，L2TP 的 优点 在 于 提供 了 差错 和 流量 控制 ，L2TP 使 用 UDP 封 
装 和 传送 PPP 帧 。 面 向 无 连接 的 UDP 无 法 保证 网 络 数据 的 可 靠 传 输 ，L2TP 使 用 Nr (下 
一 个 希望 接收 的 信息 序列 号 ) 和 Ns (当前 发 送 的 数据 包 序 列 号 ) 字段 进行 流量 和 差错 控 
制 。 双 方 通过 序列 号 来 确定 数据 包 的 顺序 和 缓冲 区 ， 一 旦 丢失 数据 ， 根 据 序列 号 可 以 进行 

作为 PPP 的 扩展 协议 ，L2TP 支持 标准 的 安全 特性 CHAP 和 PAP， 可 以 进行 用 户 身份 
认证 。L2TP 定义 了 控制 包 的 加 密 传 输 ， 每 个 被 建立 的 隧道 分 别 生成 一 个 独一无二 的 随机 
钥匙 ， 以 便 对 付 欺骗 性 的 攻击 ， 但 是 它 对 传输 中 的 数据 并 不 加 密 。 

4. GRE 

GRE (Generic Routing Encapsulation， 通 用 路 由 封装 ) 在 RFC1701/RFC1702 中 定义 ， 
它 规定 了 怎样 用 一 种 网 络 层 协 议 去 封装 另 一 种 网 络 层 协议 的 方法 。GRE 的 隧道 由 两 端的 源 
卫 地 址 和 目的 他 地址 来 定义 ， 它 允许 用 户 使 用 他 封装 全、IPX、AppleTalk， 并 支持 全 部 
的 路 由 协议 ， 如 RIP、OSPF、IGRP、EIGRP。 通 过 GRE， 用 户 可 以 利用 公用 IP 网 络 连 接 
IPX 网 络 和 AppleTalk 网 络 ， 还 可 以 使 用 保留 地 址 进行 网 络 互联 ， 或 对 公 网 隐藏 企业 网 的 
卫 地 址 。 

GRE 的 包头 包含 了 协议 类 型 (用 于 标明 乘客 协议 的 类 型 ); 校 验 和 包括 了 GRE 的 包头 
和 完整 的 乘客 协议 与 数据 ; 密 钥 (用 于 接收 端 验证 接收 的 数据 ); 序列 号 (用 于 接收 端 数 据 
包 的 排序 和 差错 控制 ) 和 路 由 信息 〈 用 于 本 数据 包 的 路 由 )。 

GRE 只 提供 了 数据 包 的 封装 ， 它 没有 防止 网 络 侦 听 和 攻击 的 加 密 功能 。 所 以 在 实际 环 
境 中 它 常 和 IPSec 一 起 使 用 ， 由 IPSec 为 用 户 数据 加 密 ， 给 用 户 提供 更 好 的 安全 服务 。 


8.3.2 ”加 密 技 术 


加 密 技 术 是 数据 通信 中 一 项 比较 成 熟 的 技术 , IPSec 通过 ISAKMP/TKE/Oakley 协商 确 
定 几 种 可 选 的 数据 加 密 算 法 , 如 DES、3DES 等 。 DES 密 钥 长 度 为 56 位 , 容易 被 破译 , 3DES 


使 用 三 重 加 密 增加 了 安全 性 。 当 然 ， 国 外 还 有 更 好 的 加 密 算 法 ， 但 国外 禁止 出 口 高 位 加 密 
算法 。 基 于 同样 理由 ， 国 内 也 禁止 重要 部 门 使 用 国外 算法 。 国 内 算法 不 对 外 公开 ， 被 破解 
的 可 能 性 极 小 。 图 8.1 展示 了 隧道 和 加 密 技术 在 VPN 中 是 如 何 应 用 的 。 

总 部 网 络 中 心 ， 应 用 和 业务 服务 器 


secpoint 


分 支 机构 
合作 伙伴 


图 8.1 隧道 与 加 密 的 应 用 


加 密 技术 在 VPN 上 的 应 用 类 型 主要 有 以 下 几 种 : 

(1) 无 客户 端 SSL。SSL 的 原始 应 用 。 在 这 种 应 用 中 ， 一 台 主 机 在 加 密 的 链 路 上 直接 
连接 到 一 个 来 源 〈 如 Web 服务 器 、 邮 件 服务 器 、 目 录 等 )。 

(2) 配置 VPN 设备 的 无 客户 端 SSL。 这 种 使 用 SSL 的 方法 对 于 主机 来 说 与 第 一 种 类 
似 。 但 是 ， 加 密 通 信 的 工作 是 由 VPN 设备 完成 的 ， 而 不 是 由 在 线 资源 完成 的 (如 Web 或 
者 邮件 服务 器 )。 

(3) 主机 至 网 络 。 在 上 述 两 个 方案 中 ， 主 机 在 一 个 加 密 的 频道 直接 连接 到 一 个 资源 。 
在 这 种 方式 中 ， 主 机 运行 客户 端 软件 (SSL 或 者 IPSec 客户 端 软件 ) 连接 到 一 台 VPN 设备 
并 且 成 为 包含 这 个 主机 目标 资源 的 那个 网 络 的 一 部 分 。 

(4) 网 络 至 网 络 。 有 许多 方法 能 够 创建 这 种 类 型 加 密 的 隧道 VPN。 但 是 ， 要 使 用 的 技 
术 几 乎 总 是 IPSec。 

8.3.3 ” 密 角 管理 技术 

密 钥 管理 技术 因 加 解密 技术 而 存在 ， 不 可 或 缺 ， 它 的 主要 任务 是 如 何在 开放 网 络 环境 
中 安全 地 传递 密 钥 而 不 被 窃取 。VPN 中 密 钥 的 分 发 与 管理 非常 重要 。 密 钥 的 分 发 有 两 种 方 
法 : 一 种 是 通过 手工 配置 的 方式 ， 另 一 种 采用 密 钥 交 换 协 议 动态 分 发 。 手 工 配置 的 方法 由 
于 密 钥 更 新 困难 ， 只 适合 于 简单 网 络 的 情况 。 密 钥 交 换 协 议 采用 软件 方式 动态 生成 密 钥 ， 
适合 于 复杂 网 络 的 情况 且 密 钥 可 快速 更 新 , 可 以 显著 提高 VPN 的 安全 性 。 目前 主要 的 密 钥 
交换 与 管理 标准 有 IKE (互联 网 密 钥 交换 ) 和 SKIP (互联 网 简单 密 钥 管理 )。 

8.3.4 使 用 者 与 设备 身份 认证 技术 


可 分 为 单 因素 认证 和 双 因 素 认 证 两 种 ， 目 前 最 常用 的 是 用 户 名 与 密码 或 口令 简单 认证 
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方式 , 复杂 度 强 、 安 全 性 高 的 身份 认证 技术 有 硬件 数字 证 书 USBKEY, 动态 密码 (如 令 牌 、 
密码 卡 、 刊 刊 卡 、 短 消息 等 )， 生 物 识别 技术 (如 虹膜 、 指 纹 、 声 音 等 )。VPN 一 般 结合 使 
简单 认证 和 扩展 认证 的 双 因素 身份 认证 技术 来 确保 VPN 用 户 级 和 设备 级 的 安全 可 信 。 认 
证 技术 防止 数据 的 伪造 和 被 自 改 ， 它 采用 一 种 称 为 “摘要 ”的 技术 。“ 搞 要 ”技术 主要 采用 
HASH 函数 将 一 段 长 的 报 文通 过 函数 变换 ， 映 射 为 一 段 短 的 报 文 即 搞 要。 由 于 HASH 函 
数 的 特性 ， 两 个 不 同 的 报 文 具有 相同 的 摘要 几乎 不 可 能 。 该 特性 使 得 摘要 技术 在 VPN 中 
有 两 个 用 途 : 验证 数据 的 完整 性 和 用 户 认证 。 


8.4 VPN 的 分 类 


根据 不 同 的 需要 ， 可 以 构造 不 同类 型 的 VPN。 不 同 商业 环境 对 VPN 的 要 求 和 VPN 所 
起 的 作用 不 同 。 这 里 分 三 种 情况 说 明 VPN 的 用 途 。 

1. 内 部 VPN 

内 部 VPN 是 指 在 公司 总 部 和 其 分 支 机构 之 间 建 立 的 VPN。 内 部 网 是 通过 公共 网 络 将 
某 一 个 组 织 的 各 个 分 支 机 构 的 LAN 连接 而 成 的 网 络 。 这 种 类 型 的 LAN 到 LAN 的 连接 所 
带 来 的 风险 最 小 ， 因 为 公司 通常 认为 他 们 的 分 支 机 构 是 可 信 的 ， 这 种 方式 连接 而 成 的 网 络 
被 称 为 Intranet， 可 看 作 是 公司 网 络 的 扩展 。 拓 扑 如 图 8.2 所 示 。 


安全 的 VPN 服 务 ， 应 该 为 子 公司 pe 
的 不 同 用 户 指定 不 同 的 访问 权限 | “ee 加 密 信道 


VPN 服 务 器 VPN 服 务 器 
2 = VPN 站 


) 
已 
路 由 器 
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路 由 器 


子 公司 


图 8.2 内 部 网 VPN 拓扑 图 


当 一 个 数据 传输 通道 的 两 个 端点 被 认为 是 可 信 的 时 候 ， 可 以 选择 内 部 网 VPN 解决 方 
案 。 安 全 性 主要 在 于 加 强 两 个 VPN 服务 器 之 间 加 密 和 认证 的 手段 。 

2. 远程 访问 VPN 

远程 访问 VPN 是 指 在 公司 总 部 和 远 地 雇 员 之 间 建 立 的 VPN。 典型 的 远程 访问 VPN 是 
用 户 通过 本 地 的 信息 提供 商 〈(ISP) 登录 到 Intemet 上 ， 并 在 现在 的 办 公 室 和 公司 内 部 网 之 
间 建 立 一 条 加 密 通道 有 较 高 安全 度 的 远程 访问 VPN 应 能 截获 特定 主机 的 信息 流 , 有 加 密 、 
身份 认证 、 过 滤 等 功能 。 拓 扑 如 图 8.3 所 示 。 


VPN 的 功能 : 

(1) 访问 控制 管理 。 (2) 用 户 身份 认证 。 
(3) 数据 加 密 。 (4) 智能 监视 和 审计 记录 。 
(5) 密 钥 和 数字 签名 管理 


Internet 


图 8.3 远程 访问 VPN 拓扑 图 


3. 外 联网 VPN 


外 联网 VPN 是 指 公 司 与 商业 伙伴 、 客 户 之 间 建 立 的 VPN。 
伴 、 客 户 和 在 远 地 的 雇员 提供 安全 性 。 外 联网 VPN 的 主要 目标 


移动 用 户 


外 联网 VPN 为 公司 商业 伙 
是 保证 数据 在 传输 过 程 中 不 


被 修改 ,保护 网 络 资源 不 受 外 部 威胁 。 外 联网 VPN 应 是 一 个 由 加 密 、 认 证 和 访问 控制 功能 


组 成 的 集成 系统 。 通常 将 公司 的 VPN 代理 服务 器 放 在 一 个 不 能 


穿 透 的 防火 墙 之 后 , 防火墙 


阻止 来 历 不 明 的 信息 传输 。 所 有 经 过 过 滤 后 的 数据 通过 唯一 的 入 口传 到 VPN 服务 器 , VPN 


再 根据 安全 策略 进一步 过 滤 。 拓 扑 如 图 8.4 所 示 。 


(1) VPN 服 务 器 应 有 详细 的 访问 控制 。 
(2) 与 防火 墙 /协议 兼容 
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图 8.4 外 联网 VPN 拓扑 图 


8.5 ”VPN 技术 应 用 


大 学 校园 网 VPN 技术 要 求 


随 着 社会 对 高 等 教育 的 迫切 要 求 和 高 校 建设 规模 的 不 断 扩 


8.5.1 


展 ， 大 学 的 二 级 单位 越 来 越 


第 
8 
章 


VPN 天 大 


怡 移 委 会 与 营 理 (过 - 二 多 


多 ， 校 园 之 间 及 对 外 信息 传递 越 来 越 多 。 这 就 存在 一 个 问题 : 不 同 校区 之 间 和 学 院 之 间 如 
何 安全 地 进行 校园 网 的 信息 共享 和 交流 ? VPN 可 以 很 好 地 解决 这 一 问题 。 大 学 对 VPN 的 
应 用 一 般 具 有 以 下 方面 的 技术 要 求 。 

(1) 身份 验证 。 由 于 已 经 有 了 自己 的 统一 身份 认证 系统 ， 故 在 VPN 方案 中 对 用 户 的 
身份 认证 必须 使 用 已 经 存在 的 用 户 信息 数据 ， 或 是 直接 与 该 校 统一 身份 认证 系统 对 接 进 行 

(2) 加 密 保护 。 要 求 能 对 VPN 隧道 建立 和 用 户 通信 都 进行 加 密 ， 支 持 预 共 享 密 钥 、 
数字 证 书 的 身份 认证 , 提供 动态 密 钥 交换 功能 ， 支持 IPSec 隧道 模式 封装 和 传输 模式 封装 ， 
支持 多 种 加 密 认证 算法 。 加 密 速度 快 ， 能 达到 千 光 通信 ，VPN 转发 能 达到 200Mb/s 以 上 。 

(3) 方便 安全 的 管理 。 要 求 在 管理 上 能 有 多 种 方式 ， 提 供 本 地 网 络 管理 、telnet 管理 、 
远程 管理 等 多 种 管理 方式 。 在 以 上 方式 中 能 对 VPN 安全 策略 、 访 问 控制 策略 等 进行 调整 。 

(4) DHCP 支持 。 要 求 能 给 每 一 个 接 入 VPN 的 用 户 动态 分 配 一 个 校内 IP 地 址 ， 地 址 
池 能 在 2000 个 IP 以上， 并 且 该 动态 地 址 可 以 与 校内 资源 进行 通信 。 

(5) 多 种 用 户 环境 支持 。 支持 专 线 宽带 接 入 、 小 区 宽带 接 入 、ADSL 宽带 接 入 、CABLE 
MODEM 宽带 接 入 、ISDN 拨号 接 入 、 普 通电 话 拨号 接 入 、GPRS 接 入 、CDMA 接 入 等 多 
种 因特网 接 入 方式 。 

(6) VPN 星 型 互联 。 由 于 许多 大 学 有 多 个 校区 ， 且 各 校区 可 能 有 自己 的 VPN (或 者 
一 个 校区 内 构建 不 止 一 个 VPN)， 在 VPN 建设 中 希望 能 将 各 VPN 互联 ， 用 户 通 过 接 入 一 
个 VPN 而 共享 并 控制 访问 其 他 校区 资源 。 

(7) 本 地 网 络 和 VPN 网 络 智能 判断 。 能 根据 客户 端的 访问 请 求 自动 选择 使 用 客户 本 
地 连接 还 是 使 用 VPN 连接 。 同 时 ， 学 校 有 部 分 资源 实际 上 放 在 校外 ， 但 必须 是 以 该 校 卫 
地 址 才能 访问 。 

(8) 联通 性 要 求 。VPN 接 入 用 户 之 间 、VPN 接 入 用 户 和 远程 网 络 中 的 用 户 间 都 可 以 
通过 虚拟 得 到 的 人 P 地 址 互相 通信 。 

(9) 应 用 范围 广 。 可 在 VPN 用 户 与 远程 局 域 网 之 间 应 用 多 种 业务 ， 如 语音 、 图 像 和 
数据 库 、 游 戏 等 应 用 ， 也 可 通过 共享 等 方式 访问 其 他 计算 机 资源 。 

(10) 符合 国家 相关 法 律 、 标 准 和 安全 要 求 。 各 VPN 设备 必须 符合 我 国 的 技术 标准 和 
安全 标准 。 

(11) 系统 可 升级 性 。 可 以 通过 对 VPN 系统 升级 来 适应 新 的 网 络 应 用 或 是 VPN 上 相关 
协议 或 标准 的 升级 。 


8.5.2 ” 某 理 工大 学 校园 网 VPN 使 用 指南 


首先 登录 VPN 服务 网 站 http:// melon.dlut.edu.cn/, 使 用 本 人 学 校 邮箱 (以 @dlut.edu.cn 
EAS 也 后 级 结尾 ) 用 户 名 及 密码 ， 获 取 当 日 VPN 密 


您 今天 第 一 次 申请 YPN 服务 码 。 当 日 该 密码 只 在 当天 有 效 ， 如 忘记 可 到 
隶 信 天 的 PNM 男 密 码 为 | USERR | VPN 服务 网 站 按照 上 述 方法 操作 ， 将 提示 当 


请 按 则 [CE 工大 学 以 园 网 YPh 腿 务 操作 指南 设置 连接 VPN 服 务 日 密码 。 第 三 天 (以 零点 为 准 ) 需 重新 生成 当 
日 密码 ， 用 新 密码 连接 。 登 录 界 面 如 图 8.5 
图 8.5 VPN 服务 界面 所 示 。 


当 需 要 访问 校内 资源 时 ， 就 可 以 使 用 当日 密码 连接 校园 网 VPN 了 。 在 连接 之 前 要 确 
认 自 己 的 主机 可 以 正常 接 入 到 Intemet 中 ， 如 果 主 机 不 能 正常 上 网 是 无 法 使 用 VPN 的 。 第 
一 次 使 用 校园 网 VPN 需要 建立 VPN 连接 ， 方 法 如 下 : 右键 单 击 “ 网 上 邻居 ”图 标 ， 从 弹 
出 的 快捷 菜单 中 选择 “属性 ”命令 ， 将 打开 “网 络 连接 ”窗口 。 在 该 窗口 左 侧 的 “网 络 任 
务 ” 面 板 中 单 击 “ 创 建 一 个 新 的 连接 ”链接 ， 启 动 “新 建 连接 向 导 ” 如 图 8.6 所 示 。 
单 击 “ 下 一 步 ” 按 钮 ， 选 择 网 络 连 接 类 型 ， 这 里 需要 选择 “连接 到 我 的 工作 场所 的 网 
， 连 接 到 一 个 商业 网 络 ( 拨 号 或 VPN)， 如 图 8.7 所 示 。 


新 建 连接 向 导 
欢迎 使 用 新 建 连接 向 导 网 络 连接 类 型 二 
您 想 做 什么 ? ) 
此 向导 稳 带 助攻 TT 
。 连接 到 | Internet。 个 连接 到 Internet CC) 
er 连接 到 Internet 这样 您 就 可 以 浏览 Yeb 或 阅读 电子 邮件 . 
* 设置 一 个 家 许 或 小 型 办 公司 络 。 a WP) 这 笠 修 可 以 在 家 里 或 者 其 它 地 
设置 家 庭 或 小 型 办 公 网 络 (3) 
村 接 到 无 二 问 络 ， 请 查看 区 关内 交 天 规避 线 。 连接 到 一 个 现 有 的 家 庭 或 型 办 公司 络 ,或 者 设 舞 一 个 新 的 
三 设置 高 级 连接 ED) 二 
i 机 
ZE ww | mw | 
图 8.6 新建 连接 向 导 图 8.7 连接 到 我 的 工作 场所 的 网 络 


单 击 “ 下 一 步 ” 按 钮 ,选择 “虚拟 专用 网 络 连 接 ” 单 选 按钮 ， 即 使 用 VPN 通过 Internet 
连接 到 网 络 ， 如 图 8.8 所 示 。 

单 击 “ 下 一 步 ” 按 钮 ， 要 求 输入 连接 名 ， 输 入 方便 自己 记忆 的 名 字 即 可 ， 这 里 给 连接 
命名 为 dutVPN。 单 击 “ 下 一 步 ” 按 钮 ， 设 置 共用 网 络 ， 选 择 “不 拨 初始 连接 ” 单 选 按钮 ， 
单 击 “ 下 一 步 ” 按 钮 , 输入 VPN 服务 器 地 址 , 校园 网 VPN 服务 器 的 地 址 为 VPN.dlutedu.cn， 
如 图 8.9 所 示 。 


新 建 连接 向 导 新 奸 连 按 向 导 
网 络 连 接 < YPE 服务 器 选择 人 N 
您 要 在 工作 点 如 何 与 网 络 连 接 ? VW IUDS RA 所 
外 建 下 列 连接 - 多 入 修正 连接 的 计算 机 的 主机 名 或 了 ?地址 
个 技 号 连接 中) 主机 名 或 IP 地 址 (全 如 ,microsoft com 或 157.54. 0 1) QD); 
调制 解 调 器 和 普通 电话 连接 ， 或 通过 综合 业务 数字 网 TSD 电话 线 连 


Je rr] 


只 玫 专用 同和 连接 豆 ) 
合用 庶 拟 专用 网 络 7 轨 证 过 Internet 连接 到 同 络 。 


— ws | 一 9 | 
图 8.8 虚拟 专用 网 络 连接 图 8.9 输入 VPN 服务 器 地 址 


单 击 “ 下 一 步 ”按钮 ， 显 示 正 在 完成 新 建 连接 向 导 ， 色 选 “ 在 我 的 桌面 上 添加 一 个 到 
此 连接 的 快捷 方式 ” 复 选 框 ， 然 后 单 击 “ 完 成 ”按钮 ， 这 样 就 完成 了 VPN 连接 的 建立 。 这 
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时 会 出 现 “ 连 接 dlut vpn” 窗 口 ， 在 此 窗口 中 输入 邮箱 的 用 户 名 和 从 VPN 服务 网 页 上 获得 


用 户 各 [test 
让 Di: [er 


厂 为 下 面 用户 保 存 用 户 名 和 密码 人 @): 
谷 只 是 我 0 
全 任何 使 用 此 计算 机 的 人 的 ) 


取消 |。 展 性 O | 。 寻 助 0 


图 8.10 输入 用 户 名 和 当日 密码 


I 


态 ” 窗 口 ， 单 击 “ 断 开 ” 按 钮 ， 断 开 校 园 


不 再 访问 校园 网 资源 时 则 双击 右 下 


的 当日 密码 ， 如 图 8.10 所 示 。 然 后 单 击 “ 连 接 ” 
按钮 即 可 连接 到 校园 网 VPN 服务 器 ， 这 时 就 可 
以 访问 校内 资源 。 因 为 每 天 VPN 的 当日 密码 都 
要 重新 生成 ， 所 以 不 要 勾 选 “为 下 面 用 户 保存 用 
户 名 和 密码 ” 复 选 框 来 保存 用 户 名 和 密码 。 

在 第 一 次 建立 完 VPN 连接 后 ， 以 后 不 需要 
再 建立 连接 , 只 需要 双击 桌面 上 的 dlut VPN 快捷 
键 图 标 就 可 以 打开 连接 窗口 。 或 者 右键 单 击 “ 网 
上 和 邻居 ” 图标， 从 弹出 的 快捷 菜单 中 选择 “属性 ” 
命令 ， 打 开 “ 网 络 连接 ”窗口 ， 双 击 其 中 “虚拟 
专用 网 络 ” 下 的 dlut VPN 连接 ， 打 开 连 接 窗口 ， 
然后 在 连接 窗口 中 输入 邮箱 用 户 名 和 当日 密码 
就 可 以 再 次 连接 。 
角 任 务 栏 中 的 dlut VPN 连接 ,弹出 “dlut VPN 状 
网 VPN 的 连接 。 


如 果 不 及 时 断 开 ， 可 能 会 影响 其 他 的 网 络 访问 。 并 且 由 于 目前 校园 网 VPN 负载 能 力 
有 限 ， 因 此 对 每 个 用 户 每 天 使 用 的 时 间 限 定 在 两 小 时 ， 不 及 时 断 开 将 一 直 记录 使 用 时 间 。 
如 果 当 天 需要 再 访问 校内 资源 时 ,可 能 已 经 超出 了 时 间 限 定 而 无 法 访问 。 在 VPN 服务 网 站 


生成 当日 密码 处 可 以 查看 当日 使 用 时 间 ， 
要 再 做 过 多 的 连接 尝试 。 


当日 使 用 时 间 超 出 两 小 时 将 无 法 连接 VPN, 请 不 


课 后 习 题 


一 、 选 择 题 

1. VPN 是 (  ) 的 简称 。 
A. Visual Private Network 
C. Virtual Public Network 

2. 部 署 VPN 产品 不 能 实现 对 
A. 完整 性 
C. 可 用 性 

3. IPSec 是 网 络 层 典型 的 安全 协议 ， 
A. 保密 性 
C. 不 可 否认 性 

4. 网 络 安全 协议 包括 〈 入 
A. SSL 和 IPSec 
C. SMTP 

5. 属于 第 二 层 的 VPN 隧道 协议 有 ( 
A. IPSec 


B. Virtual Private NetWork 

D. Visual Public Network 

) 属性 的 需求 。 

B. 真实 性 

D. 保密 性 

但 不 能 为 他 数据 包 提 供 ) 服务 。 
B. 完整 性 

D. 真实 性 


B. POP3 和 IMAP4 
DBD: TEBEP 

)。 
B: PPIP 


C. GRE D. 以 上 皆 不 是 
6. VPN 的 加 密 手 段 为 〈 )。 
A. 具有 加 密 功 能 的 防火 墙 
B. 具有 加 密 功 能 的 路 由 器 
C. VPN 内 的 各 台 主 机 对 各 自 的 信息 进行 相应 的 加 密 
D. 单独 的 加 密 设 备 
7. 将 公司 与 外 部 供应 商 、 客 户 及 其 他 利益 相关 群体 相连 接 的 是 涛 


A. 内 联网 VPN B. 外 联网 VPN 
C. 远程 接 入 VPN D. 无 线 VPN 
8. PPTP、L2TP 和 L2F 隧道 协议 属于 ( ) 协议 。 

A. 第 一 层 隧道 B. 第 二 层 隧道 
C. 第 三 层 隧道 D. 第 四 层 隧道 
9. 不 属于 隧道 协议 的 是 并 
A. PPTP B. L2TP 
C. TCP/IP D. IPSec 
10. 不 属于 VPN 的 核心 技术 是 ( 加 
A. 隧道 技术 B. 身份 认证 
C. 日 志 记 录 D. 访问 控制 


Ls 


he 


目前 ，VPN 使 用 了 ( ) 技术 保证 通信 的 安全 性 。 

A. 隧道 协议 、 身 份 认证 和 数据 加 密 

B. 身份 认证 、 数 据 加 密 

C. 隧道 协议 、 身 份 认 证 

D. 隧道 协议 、 数 据 加 密 

12. L2TP 隧道 在 两 端的 VPN 服务 器 之 间 采 用 ( ) 来 验证 对 方 的 身份 。 


A. 口令 握手 协议 CHAP B. SSL 
C. Kerberos D. 数字 证 书 
二 、 填 空 题 
1. VPN 利用 隧道 封装 、 等 访问 控制 技术 在 开放 的 公用 网 络 传输 
信息 。 
2. VPN 允许 用 户 或 公司 在 保持 安全 通信 的 前 提 下 ， 通 过 公 网 来 连接 远程 服 
务 、 或 
3. 传统 的 VPN 组 网 主要 采用 VPN 和 基于 客户 端 设备 的 VPN 两 种 
方式 。 
4. VPN 常用 技术 主要 有 IPSec VPN、 和 
5. IPSec 安全 体系 包括 三 个 基本 协议 : AH 协议 、 和 5 
6. AH 协议 为 卫 通信 提供 数据 源 认证 、 和 ， 它 能 保护 通信 和 免 受 算 


改 ， 但 不 能 防止 穷 听 ， 适 合用 于 传输 数据 。 
7. 在 IPSecVPN 中 两 种 最 常用 的 Hash 函数 是 和 。 
8. SSL 记录 协议 建立 在 可 靠 的 传输 协议 (如 TCP) 之 上 ， 为 高 层 协议 提供 数 
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据 、 加 密 等 基本 功能 的 支持 。 
9. SSL 握手 协议 建立 在 SSL 记录 协议 之 上 ， 用 于 在 实际 的 数据 传输 开始 前 ， 通 信 双 
方 进行 身份 认证 、_、 和 
三 、 简 答题 
.VPN 的 发 展 过 程 中 出 现 了 哪些 类 型 ? 
.VPN 的 基本 功能 有 哪些 ? 
.VPN 特性 有 哪些 ? 
.IPSec 的 安全 特性 有 哪些 ? 
.IPSec 安全 体系 包括 哪 几 个 基本 协议 ? 
.IPSec 的 基本 工作 原理 是 什么 ? 
.IPSec VPN 的 优点 有 哪些 ? 
.IPSec VPN 的 缺点 有 哪些 ? 
. SSL 协议 提供 的 服务 主要 有 什么 ? 
SSL 协议 的 工作 流程 有 哪些 步 又 ? 
. SSL VPN 具备 哪些 特性 ? 
.SSL VPN 的 优点 有 哪些 ? 
.SSL VPN 的 缺点 有 哪些 ? 
VPN 主要 采用 哪些 技术 来 保证 安全 ? 
.通过 隧道 的 建立 可 实现 哪些 功能 ? 
.常用 的 隧道 协议 有 哪些 ? 
.加 密 技 术 在 VPN 上 的 应 用 类 型 有 哪儿 种 ? 
.VPN 的 用 途 有 哪些 ? 
. 校园 网 VPN 技术 要 求 有 哪些 ? 


Do 下 w ww 一 


证 
呈 


一 
Doo~、w 上 上 wm 一 


第 9 音 电子 商务 安全 


9.1 互联 网 安全 概述 


随 着 电子 商务 技术 的 快速 发 展 ， 信 息 安全 的 问题 变 得 更 加 严重 。 竞 争 者 未 经 授权 而 访 
问 公司 的 信息 所 带 来 的 后 果 是 前 所 未 有 的 。 电 子 商务 的 出 现 则 使 安全 成 为 所 有 人 都 关心 的 
问题 ,网 上 购物 的 顾客 最 担心 的 问题 就 是 信用 卡号 在 网 络 上 传输 时 可 能 会 被 上 百 万 人 看 到 。 
最 近 的 一 次 问卷 调查 显示 ，80% 以 上 的 互联 网 用 户 都 担心 在 电子 商务 交易 时 出 现 各 种 安全 
隐患 。 这 个 担心 和 多 年 来 对 在 电话 购物 过 程 中 申报 信用 卡号 时 的 担心 是 一 样 的 。 现 在 人 们 
对 在 电话 中 把 自己 的 信用 卡号 告诉 陌生 人 已 不 太 在 意 ， 但 还 是 有 很 多 消费 者 不 放心 用 计算 
机 来 传输 信用 卡号 。 人 们 担心 通过 互联 网 向 公司 传递 的 隐私 信息 ， 而 且 越 来 越 怀 疑 这 些 公 
司 保护 客户 隐私 信息 的 意愿 和 能 力 。 本 章 从 电子 商务 角度 详细 介绍 计算 机 安全 方面 的 问题 ， 
讲述 一 些 比较 重要 的 安全 问题 及 目前 的 解决 方法 。 
9.1.1 风险 管理 


安全 措施 是 指 识别 、 降 低 或 消除 安全 威胁 的 物理 或 是 逻辑 步骤 的 总 称 。 根 据 不 同 的 资 
产 重 要 性 不 同 ， 相 应 的 安全 措施 也 有 多 种 。 如 果 保 护 资 产 免 受 安全 威胁 的 成 本 超过 所 保护 
资产 的 价值 ， 就 可 以 认为 这 种 资产 的 安全 风险 很 低 或 不 可 能 发 生 。 

这 种 风险 管理 模型 应 用 在 保护 互联 网 或 电子 商务 资产 免 受 物理 或 逻辑 的 安全 威胁 的 
领域 。 这 类 安全 威胁 的 例子 有 欺诈 、 窍 听 和 盗窃 ， 这 里 的 窃听 者 是 指 能 听 到 并 复制 互联 网 
上 传输 内 容 的 人 或 设备 。 

正如 前 面 的 章节 提 到 的 ， 网 络 攻击 者 是 指 利用 自己 的 技术 知识 非法 入 侵 计 算 机 或 网 络 
系统 的 人 ， 他 们 可 能 会 窃取 信息 ， 或 者 破坏 信息 、 系 统 软件 甚至 硬件 。 而 黑客 以 前 是 指 喜 
欢 编 复杂 的 程序 来 挑 找 技术 极限 的 专业 程序 员 。 现 在 计算 机 人 士 仍然 正面 使 用 “黑客 ”这 
个 词 ， 但 媒体 和 公众 都 用 这 个 词 来 描述 利用 自己 的 技能 从 事 非法 勾当 的 人 。 有 些 IT 人 士 用 
白 帽 黑客 和 黑 帽 黑客 来 区 分 好 黑客 和 网 络 攻击 者 。 

要 实施 安全 计划 ， 必 须 识 别 出 风 险 ， 确 定 对 受到 安全 威胁 的 资产 的 保护 方式 并 算出 保 
护 资产 的 成 本 。 本 章 的 重点 不 是 保护 的 成 本 或 资产 的 价值 ， 而 是 识别 安全 威胁 并 保护 资产 
免 受 威胁 的 方法 。 


9.1.2 ”电子 商务 安全 分 类 


安全 专家 通常 把 电子 商务 安全 分 成 三 类 ， 即 保密 、 完 整 和 即 需 (也 称 为 拒绝 服务 )。 
保密 是 指 防 止 未 授权 的 数据 暴露 并 确保 数据 源 是 可 靠 的 ;完整 是 防止 未 经 授权 的 数据 修改 ; 
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即 需 是 防止 延迟 或 拒绝 服务 。 电 子 商务 安全 中 最 重要 的 部 分 是 保密 。 新 闻 媒 体 上 经 常 有 非 
法 进入 政府 或 企业 的 计算 机 或 用 偷 来 的 信用 卡号 订购 商品 的 报道 。 相 对 来 说 ， 完 整 性 安全 
威胁 不 那么 频繁 地 被 人 提 及 ， 因 此 大 众 对 此 领域 比较 陌生 。 例 如 ， 一 个 电子 邮件 的 内 容 被 
自 改 成 完全 相反 的 意思 ， 就 可 以 说 发 生 了 对 完整 性 的 破坏 。 即 需 性 破坏 的 案例 很 多 ， 而 且 
频繁 发 生 。 延 迟 一 个 消息 或 出 现 拒绝 服务 往往 会 带 来 灾难 性 的 后 果 。 例 如 ， 某 用 户 在 上 午 
10 点 向 一 家 网 上 股票 经 纪 商 发 一 个 电子 邮件 委托 购买 1000 股 股票 。 如 果 这 封 邮 件 被 人 延 
迟 ， 股 票 经 纪 商 在 下 午 两 点 半 才 收 到 该 邮件 ， 这 时 股票 已 涨 了 3 元 ， 这 个 消息 的 延迟 就 使 
用 户 损失 了 3000 元 。 


9.1.3 ”安全 策略 和 综合 安全 


要 保护 自己 的 电子 商务 资产 ， 所 有 的 组 织 都 要 有 一 个 明确 的 安全 策略 。 安 全 策略 是 
明确 描述 对 所 需 保护 的 资产 、 保 护 的 原因 、 谁 负责 进行 保护 、 哪 些 行 为 可 接受 、 哪 些 行为 
不 可 接受 等 的 书面 描述 。 安 全 策略 一 般 要 陈述 物理 安全 、 网 络 安全 、 访 问 授权 、 病 毒 保护 、 
灾难 恢复 等 内 容 ， 该 策略 会 随时 间 变 化 而 变化 ， 公 司 负责 安全 的 人 员 必 须 定期 修改 安全 
策略 。 

无 论 军 事 还 是 商务 都 要 求 组 织 必须 保护 自己 的 资产 不 受 窃取 、 修 改 或 破坏 的 威胁 。 军 
事 安全 策略 不 同 于 商务 安全 策略 之 处 在 于 军事 应 用 强调 多 级 别 的 安全 。 公 司 的 信息 一 般 分 
成 “公开 ”和 “机 密 ” 设计 公司 机 密 信息 的 安全 策略 很 简单 : 不 要 将 机 密 信息 透露 给 所 有 
无 关 的 人 员 。 

制定 安全 策略 时 ， 首 先 要 确定 保护 的 资产 ， 如 存储 客户 信用 卡号 码 的 公司 会 要 求 这 些 
资产 不 被 窃听 者 获取 。 其 次 是 明确 谁 有 权 访 问 系统 的 哪些 部 分 ， 不 能 访问 哪些 部 分 。 再 次 
是 确定 有 哪些 资源 可 用 来 保护 这 些 资产 。 安 全 小 组 了 解 了 上 述 信息 后 ， 制 定 出 书面 的 安全 
策略 。 最 后 是 要 提供 资源 保证 来 开发 或 购买 实现 企业 安全 策略 所 需 的 软 硬 件 和 物理 防护 措 
施 。 例 如 ， 如 果 安 全 策略 要 求 不 允许 未 经 授权 的 访问 顾客 信息 ， 这 时 就 要 开发 或 采购 为 电 
子 商 务 客户 提供 端 到 端 安全 保证 的 软件 。 

全 面 的 安全 策略 应 当 保 护 系统 的 保密 、 完 整 和 即 需 ， 并 能 确认 用 户 的 身份 。 具 体 到 电 
子 商 务 领 域 ， 这 些 要 求 是 对 大 多 数 电 子 商务 企业 的 最 低 安 全 要 求 。 


9.2 ”客户 端的 安全 


客户 端 (一 般 指 PC) 必须 实现 一 定 的 安全 保护 , 不 受 来 自 某 些 软件 和 数据 的 安全 威胁 。 
本 节 将 介绍 以 动态 页 面 形式 从 网 上 传 来 的 活动 内 容 所 带 来 的 安全 威胁 。 客 户 端 面临 的 另 一 
种 威胁 是 伪装 成 合法 网 站 的 服务 器 。 用 户 和 客户 端 受骗 向 非法 网 站 提供 敏感 信息 的 案例 很 
多 。 本 节 解 释 这 些 威胁 及 原理 ， 讨 论 防 止 或 减少 客户 端 安全 威胁 的 保护 机 制 。 


9.2.1 Cookies 


在 WWW 客户 端 与 服务 器 之 间 的 互联 网 连接 是 采用 无 状态 连接 。 在 无 状态 连接 下 , 每 
次 信息 传输 都 是 独立 的 。 由 于 在 客户 端 与 服务 器 之 间 没有 连续 的 连接 ， 因 此 这 个 时 候 将 使 


用 到 一 种 叫 Cookie 的 文本 文件 来 识别 再 次 访问 的 客户 身份 。Cookie 使 WWW 服务 器 可 以 
同 WWW 客户 端 进行 连续 的 公开 会 话 , 从 而 完成 对 网 上 业务 活动 很 重要 的 一 些 任务 。 例 如 ， 
购物 车 与 结算 处 理 软 件 都 离 不 开 公 开会 话 。 在 WWW 出 现 的 早期 , 为 了 解决 无 状态 连接 下 
公开 会 话 的 需求 ， 就 设计 出 Cookie， 用 户 从 一 组 服务 器 一 一 客户 端 信息 切换 到 另 一 组 保存 
用 户 信 息 ， 从 而 解决 了 无 状态 连接 的 问题 。 

Cookie 有 两 种 分 类 方式 ， 即 按时 间 和 来 源 进 行 分 类 。 按 时 间 分 类 有 两 类 Cookie: 会 话 
Cookie (Session Cookie) 在 关闭 浏览 器 后 即 被 删除 ， 永 久 Cookie (Persistent Cookie) 则 可 
以 永远 存在 。 在 电子 商务 网 站 上 ， 两 类 Cookie 都 可 以 使 用 。 例 如 ， 使 用 会 话 Cookie 保存 
某 个 购物 会 话 的 信息 ,用 永久 Cookie 存储 识别 用 户 身 份 的 信息 。 浏览 器 每 次 转 入 商家 网 站 
的 不 同 栏 目 时 ， 商 家 的 服务 器 都 会 要 求 客户 端 返回 服务 器 上 次 在 客户 端 存储 的 Cookie。 

第 二 种 Cookie 分 类 方式 是 按 来 源 划分 。 由 WWW 服务 器 放 在 客户 端 上 的 Cookie 叫做 
第 一 方 Cookie， 由 不 是 客户 端 访问 的 其 他 网 站 放 在 客户 端 上 的 Cookie 叫 第 三 方 Cookie。 
第 三 方 Cookie 通常 是 由 在 客户 端 所 访问 网 站 上 发 布 广告 的 第 三 方 网 站 生成 。 这 些 网 站 希望 
跟踪 看 到 广告 访问 者 的 反应 。 如 果 这 些 网 站 在 很 多 网 站 上 发 布 广告 ， 它 会 用 第 三 方 Cookie 
来 跟踪 不 同 网 站 的 访问 者 。 

最 彻底 的 保护 隐私 ， 避 免 被 Cookie 跟踪 的 办 法 就 是 完全 禁止 Cookie。 这 种 方法 的 问 
题 在 于 有 用 的 Cookie 也 被 禁用 , 访问 者 在 每 次 访问 同一 个 网 站 时 需要 不 厌 其 烦 地 输入 很 多 
同样 的 信息 。 如 果 访 问 者 禁用 Cookie， 可 能 看 不 到 有 些 网 站 的 全 部 内 容 。 例 如 ， 很 多 学 校 
所 用 的 远程 教育 软件 在 禁用 Cookie 时 就 可 能 无 法 使 用 。 

访问 者 在 网 上 浏览 时 会 积累 大 量 的 Cookie。 另 外 ， 由 于 Cookie 要 反馈 出 客户 端的 信 
息 给 网 站 的 服务 器 ， 然 后 服务 器 再 决定 是 否 开启 相关 权限 给 上 网 用 户 的 PC， 如 果 Cookie 
为 网 络 攻 击 者 使 用 ， 则 客户 端 中 的 私人 信息 和 重 
要 的 数据 就 可 能 被 盗窃 。 因 此 ， 同 样 要 限制 
Cookies 的 权限 。 多 数 Web 浏览 器 允许 用 户 拒绝 第 | 
三 方 Cookie 或 转载 接受 前 查看 每 个 Cookie。 如 I | 
等 浏览 器 都 有 复杂 的 Cookie 管理 功能 。 进入 下 | Fe 
浏览 器 的 “Intemet 选项 ”对 话 框 ， 在 “隐私 ” 选 | | | -| 5 向 bowme 
项 卡 中 找到 设置 ,然后 通过 滚动 条 来 设置 Cookies | | 一 和 
的 隐私 设置 , 从 高 到 低 划分 为 “阻止 所 有 Cookie”、 = 
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6 个 级 别 ， 如 图 9.1 所 示 。 

一 个 更 好 的 办 法 是 第 三 方 的 选择 性 阻止 
Cookie 的 软件 ， 这 种 软件 叫做 Cookie 封锁 软件 
(Cookie Blockers)。 有 些 软件 (如 WebWasher) 是 
浏览 器 插件 ， 可 以 禁止 横幅 广告 的 Cookie; 有 些 
软件 (如 Cookie Pal) 可 以 按照 他 地 址 对 Cookie 
进行 过 滤 , 放 过 “好 ”的 Cookie, 禁用 其 他 Cookie。 


弹出 窗口 阻止 程序 
8! 阻止 显示 大 多 数 弹 出 窗口 。 设置 @@) 


口 打开 弹出 窗口 阻止 程序 @) 
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图 9.1 正 浏 览 器 限制 Cookies 的 设置 


Cookie Crusher 则 可 以 在 Cookie 存储 在 客户 主机 前 控制 Cookie。 
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9.2.2 Java 小 程序 


Java 是 美国 Sun 公司 开发 的 一 种 高 级 程序 设计 语言 ， 现 在 广泛 用 于 开发 提供 活动 内 容 
的 网 页 。WWW 服务 器 将 Java 小 程序 随 客户 端 所 请 求 的 页 面 一 起 发 出 。 多 数 情况 下 ， 网 站 
访问 者 可 以 看 到 Java 小 程序 的 运行 。 但是，Java 小 程序 也 可 以 执行 网 站 访问 者 无 法 识别 的 
功能 ， 这 时 客户 端 就 在 浏览 器 中 运行 这 些 程序 。Java 也 可 以 在 浏览 器 之 外 运行 。Java 是 与 
台 无 关 的 ， 可 在 任何 计算 机 上 运行 。 因 为 对 所 有 计算 机 都 只 需 维护 一 种 原 代码 ， 所 以 这 
种 “一 次 开发 多 处 使 用 ”的 特点 降低 了 开发 成 本 。 
Java 小 程序 在 为 用 户 浏览 网 站 时 提供 服务 的 同时 ， 一 些 网 络 攻击 者 在 网 页 源 文件 中 加 
入 恶意 的 Java 小 程序 ， 这 样 就 给 用 户 的 上 网 造成 了 信息 被 非法 窍 取 和 上 网 的 安全 隐患 。 理 
等 浏览 器 限制 Java 小 程序 的 设置 方法 如 下 : 在 下 菜单 栏 中 依次 选择 “工具 ”一 “Intermnet 
选项 ”命令 ， 在 打开 的 “Intemet 属性 ”对 话 框 中 选择 “安全 ”选项 卡 ， 在 Intemet 区 域 的 
安全 级 别 中 单 击 “ 自 定义 级 别 ” 按 钮 ， 然 后 对 “Java 小 程序 脚本 ”进行 相关 的 设置 。 在 这 
里 可 以 对 Java 小 程序 安全 选项 进行 选择 性 设置 ， 如 “启用 ”“ 禁 用 ”或 “提示 ”， 如 图 9.2 
所 示 。 
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图 9.2 正 浏 览 器 限制 Java 小 程序 的 设置 


Java 增强 了 应 用 程序 的 功能 ， 可 在 客户 端 处 理 交易 并 完成 各 种 各 样 的 操作 ， 解 放 了 非 
常 繁 忙 的 服务 器 ， 使 服务 器 不 必 同 时 处 理 成 千 上 万 种 应 用 。 但 嵌入 的 Java 代码 一 旦 下 载 就 
可 在 客户 端 上 运行 ， 这 可 能 发 生 破坏 安全 的 问题 。 为 解决 这 个 问题 而 提出 了 被 称 为 Java 运 
行程 序 安 全 区 的 安全 模式 。Java 运行 程序 安全 区 是 根据 安全 模式 所 定义 的 规则 来 限制 Java 
小 程序 的 活动 。 这 些 规则 适用 于 所 有 不 可 信 的 Java 小 程序 。 不 可 信 的 Java 小 程序 意 指 尚 
未 被 证 明 是 安全 的 Java 小 程序 。 当 Java 小 程序 在 Java 运行 程序 安全 区 限制 的 范围 内 运行 


时 ， 它 们 不 会 访问 系统 中 安全 规定 范围 之 外 的 程序 代码 。 例 如 ， 遵 守 运 行程 序 安全 区 规则 
的 Java 小 程序 不 能 执行 文件 输入 、 输 出 或 删除 操作 ， 这 就 防止 了 破坏 保密 性 (泄密 〉 和 完 
整 性 删除 或 修改 )。 


9.2.3 JavaScript 


JavaScript 是 网 景 公 司 开发 的 一 种 客户 端 脚本 语言 ， 它 支持 页 面 设计 人 员 创建 活动 内 
容 。 尽 管 名 称 与 Java 类 似 ， 但 Java 只 是 JavaScript 的 基础 之 一 。 各 种 流行 浏览 器 都 支持 
JavaScript， 它 与 Java 语言 具有 同样 的 结构 。 当 下 载 一 个 嵌 有 JavaScript 代码 的 页 面 时 ， 该 
代码 就 在 用 户 的 客户 端 上 运行 。 

和 其 他 活动 内 容 的 载体 一 样 ，JavaScript 会 侵犯 保密 性 和 完整 性 , 会 破坏 硬盘 、 把 电子 
邮件 的 内 容 泄密、 将 敏感 信息 发 给 某 个 WWW 服务 器 。 另外， 还 可 能 记录 用 户 所 访问 页 面 
的 URL 并 捕捉 填 入 表 中 的 任何 信息 。 如 果 在 租车 时 输入 了 信用 卡号 ， 有 恶意 的 JavaScript 
程序 就 可 能 把 信用 卡号 复制 下 来 。JavaScript 程序 和 Java 小 程序 的 区 别 在 于 它 不 在 Java 运 
行程 序 安全 区 的 安全 模式 限制 下 运行 。 

与 Java 小 程序 不 同 ，JavaScript 程序 不 能 自行 启动 。 恶意 的 JavaScript 程序 只 有 在 用 户 
亲手 启动 后 才 会 运行 。 例 如 为 了 诱导 某 用 户 启动 这 个 程序 ， 网 络 攻 击 者 会 把 程序 假扮 成 退 
休 金 计算 程序 ,在 用 户 单 击 按钮 来 查看 自己 的 退休 金 收 入 时 ，JavaScript 程序 就 会 启动 ， 完 
成 它 的 破坏 任务 。 

IE 等 浏览 器 限制 JavaScript 程序 设置 方法 如 下 : 在 正 菜单 栏 中 依次 选择 “工具 ”一 
“Internet 选项 ”命令 ,在 打开 的 “Itermet 属性 ”对 话 框 中 选择 “安全 ”选项 卡 ， 在 Intermet 
区 域 的 安全 级 别 中 单 击 “ 自 定义 级 别 ” 按 钮 ， 然 后 对 “活动 脚本 ”选项 进行 相关 的 设置 。 
在 这 里 可 以 对 JavaScript 程序 安全 选项 进行 选择 性 设置 ， 如 “启用 ”“ 禁 用 ”或 “提示 ” 
9.2.4 ActiveX 控件 


ActiveX 控件 是 一 个 对 象 ， 包 含有 页 面 设 计 人 员 放 在 页 面 来 执行 特定 任务 的 程序 和 属 
性 。ActiveX 的 构件 可 用 各 种 程序 设计 语言 构建 ， 最 常用 的 是 C++ 或 Visual Basic。 和 Java 
或 JavaScript 代码 不 同 的 是 ，ActiveX 控件 只 能 在 安装 Windows 的 计算 机 上 运行 。 

当 基 于 Windows 的 浏览 器 下 载 了 嵌 有 ActiveX 控件 的 页 面 时 ,， 它 就 可 以 在 客户 端 上 运 
行 。 控 件 的 其 他 例子 有 WWW 支持 的 日 历 控件 及 各 种 各 样 的 WWW 游戏 。 

ActiveX 控件 的 安全 威胁 是 一 旦 下 载 ， 它 就 能 像 计算 机 上 的 其 他 程序 一 样 执行 ， 能 访 
问 包括 操作 系统 代码 在 内 的 所 有 系统 资源 ， 这 是 非常 危险 的 。 一 个 有 恶意 的 ActiveX 控件 
可 格式 化 硬盘 ， 向 邮件 通讯 德里 的 所 有 人 发 送 电子 邮件 或 关闭 计算 机 。ActiveX 控制 启动 
后 不 能 终止 ， 但 可 被 管理 。 如 果 浏 览 器 安全 特性 设置 正确 ， 当 下 载 ActiveX 控件 时 浏览 
就 会 提醒 用 户 。 正 等 浏览 器 限制 ActiveX 控件 的 设置 方法 如 下 : 在 正 菜单 栏 中 依次 选择 
“工具 ”一 “Intemet 选项 ”命令 ,在 打开 的 “Intemet 属性 ”对 话 框 中 选择 “安全 ”选项 卡 ， 
在 Intemet 区 域 的 安全 级 别 中 单 击 “ 自 定义 级 别 ” 按 钮 ， 然 后 对 “ActiveX 控件 和 插件 ” 选 
项 进行 相关 的 设置 。 在 这 里 可 以 对 “ActiveX 控件 ”选项 进行 选择 性 设置 ， 如 “启用 ”、“ 禁 
用 ”或 “提示 ” 如 图 9.3 所 示 。 
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图 9.3 正 浏 览 器 限制 ActiveX 控件 的 设置 


但 是 这 样 设置 后 会 影响 我 们 对 某 正常 站 点 的 访问 , 因为 很 多 站 点 采用 了 JavaScript, 针 
对 这 种 情况 可 以 将 自己 经 常 访问 的 站 点 添加 到 “受信 任 的 站 点 ”中 。 在 下 菜单 栏 中 依次 选 
择 “ 工 具 ” 一 “Intemet 选项 ”命令 ， 在 打开 的 “Intemet 属性 ”对 话 框 中 选择 “安全 ” 选 
项 卡 ， 选 中 “可 信任 的 站 点 ”， 单 击 “ 站 点 ”按钮 ， 取 消 “ 对 该 区 域 中 的 所 有 站 点 要 求 服务 
器 验证 ” 复 选 框 的 勾 选 ， 然 后 在 “将 该 网 站 添加 到 区 域 中 ”文本 框 中 输入 站 点 网 址 ， 单 击 
“添加 ”按钮 即 可 ， 如 图 9.4 所 示 。 


9.2.5 ”图形 文件 与 插件 


图 形 文件 、 浏 览 器 插件 和 电子 邮件 附件 均 是 可 存储 可 执行 的 内 容 。 有 些 图 像 文件 的 格 
式 经 过 专门 设计 ， 包 含 确定 图 像 显示 方式 的 指令 。 这 就 意味 着 带 这 种 图 形 的 任何 页 面 都 是 
潜在 的 安全 威胁 , 因为 嵌入 在 图 形 中 的 代码 可 能 会 破坏 计算 机 。 同 样 ,浏览 器 插件 (Plug-Ins) 
是 增强 浏览 器 功能 的 程序 ， 即 完成 浏览 器 不 能 处 理 的 页 面 内 容 。 插 件 通 常 都 是 有 益 的 ， 用 
于 执行 一 些 特殊 的 任务 ， 如 播放 音乐 片段 ， 现 实 电影 片断 或 动画 图 形 。 例 如 ，Apple 公司 
的 QuickTime 可 下 载 并 放映 特殊 格式 的 电影 片段 。 

用 于 显示 特殊 内 容 的 浏览 器 插件 程序 也 给 客户 端 带 来 了 安全 威胁 。 用 户 可 下 载 这 些 插 
件 程 序 并 安装 ， 这 些 浏览 器 就 可 以 显示 无 法 以 HTML 标注 的 内 容 。 最 常用 的 插件 有 
Macromedia 公司 的 Flash Player 和 Shockwave Player、Apple 公司 的 QuickTime Player、 
RealNetworks 公司 的 Real Player。 

许多 插件 都 是 通过 执行 相应 媒体 的 指令 来 完成 其 职责 的 。 这 就 为 某 些 企图 破坏 计算 机 
的 人 打开 了 方便 之 门 ， 他 们 可 在 看 起 来 无 害 的 视频 或 音频 片断 上 嵌入 一 些 指令 。 这 些 隐藏 
在 插件 程序 所 要 解释 对 象 的 恶意 指令 ， 可 通过 删除 若干 或 全 部 文件 来 实施 破坏 活动 。 正 等 
浏览 器 限制 Active X 控件 的 设置 方法 如 图 9.5 所 示 。 
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9.2.6 数字 证 书 


数字 证 书 是 控制 活动 内 容 威胁 的 方法 之 一 。 数 字 证 书 可 以 是 电子 邮件 附件 或 网 页 上 所 
据 的 程序 ， 用 来 验证 用 户 或 网 站 的 身份 。 另 外 ， 数 字 证 书 还 有 向 网 页 或 电子 邮件 附件 原 发 
送 者 发 送 加 密 信息 的 功能 。 如 果 下 载 的 程序 内 有 数字 证 书 ， 就 可 识别 出 软件 出 版 商 并 确认 
证 书 是 否 有 效 。 数 字 证 书 是 签名 (Signed) 的 消息 或 代码 。 签 名 消息 或 签名 代码 的 用 途 与 
驾驶 执照 或 护照 上 照片 的 用 途 相同 ， 用 来 验证 持 有 人 是 否 为 证 书 指定 人 。 证 书 并 不 保证 所 
下 载 软件 的 功能 或 质量 ， 只 是 证 明 所 提供 的 软件 是 真实 而 非 伪造 的 。 使 用 证 书 意味 着 :如 
果 用 户 相信 某 软件 开发 商 ， 证 书 可 以 帮助 用 户 确认 签名 的 软件 确实 来 自 该 开发 商 。 

数字 证 书 可 用 于 多 种 在 线 交 易 ， 包 括 电 子 商 务 、 电 子 邮 件 和 电子 资金 转账 。 数 字 证 书 
可 以 为 购物 者 验证 网 站 ， 有 时 也 用 于 为 网 站 验证 购物 者 。 网 站 的 数字 证 书 可 以 向 购物 者 保 
证 它 是 真正 的 网 站 而 不 是 伪装 的 网 站 ， 因 为 数字 证 书 的 机 制 使 其 很 难 伪造 。 浏 览 器 或 电子 
邮件 在 交易 中 被 要 求证 明 彼此 的 身份 时 ， 可 以 自动 地 交换 数字 证 书 而 不 需要 用 户 介入 。 

软件 开发 商 不 必 是 证 书签 署 者 。 证 书 只 表明 对 这 段 程序 的 认同 , 而 无 须 表 明 作者 是 谁 。 
签署 软件 的 公司 需要 从 若干 一 级 或 二 级 的 认证 中 心 处 得 到 软件 出 版 商 证 书 。 认 证 中 心 (CA) 
可 向 组 织 或 个 人 发 行 数字 证 书 。 申 请 数字 证 书 的 实体 要 向 认证 中 心 提供 相应 的 身份 证 明 。 
如 果 符 合 条 件 ， 认 证 中 心 就 会 签署 一 个 证 书 。 认 证 中 心 以 私 钥 的 方式 来 签署 证 明 ， 收 到 软 
件 出 版 商 程序 上 所 附 证 书 的 人 可 用 公 钥 打开 这 个 程序 。 

数字 签名 很 难 伪造 。 数 字 证 书包 括 6 项 主要 内 容 : 

(1) 证 书 所 有 者 的 身份 信息 ， 如 姓名 、 组 织 、 地 址 等 。 

(2) 证 书 所 有 者 的 公 钥 。 

(3) 证 书 的 有 效 期 。 

(4) 证 书 编号 。 

(5) 证 书 发 行 机 构 的 名 称 。 
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(6) 证 书 发 行 机 构 的 电子 签名 。 
通过 正 浏览 器 查看 数字 证 书 的 过 程 如 下 : 依次 选择 正 浏览 器 菜单 栏 中 的 “工具 ”一 
“Intemet 选项 ”命令 ,在 打开 的 “Intemet 属性 ”对 话 框 中 选择 “内 容 ” 选 项 卡 ， 在 “证 书 ” 


、 x ; 左 术 » 失 ; yt ;三 相生 村 一 
选项 区 域 中 单 击 一 “证 书 ” 按 钮 ， 将 打开 “证 书 ” 对 话 框 ， 如 图 9.6 所 示 。 
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图 9.6 数字 证 书 的 详细 信息 


密 钥 就 是 一 个 简单 的 数字 ， 通 常 是 一 个 很 大 的 二 进 制 数字 ， 它 和 特定 的 加 密 算法 一 起 
使 用 就 可 把 想 保护 的 字符 串 “ 锁 ”起 来 ， 让 别人 无 法 看 到 其 内 容 。 加 密 密 钥 越 长 ， 保 护 效 
果 越 好 。 实 际 上 ， 认 证 中 心 就 是 保证 提交 证 书 的 个 人 或 组 织 与 其 声明 的 身份 相符 。 

各 认证 中 心 对 证 件 的 要 求 都 不 一 样 。 某 家 认证 中 心 可 能 要 求 个 人 申请 者 提供 驾驶 执 
照 , 而 另 一 家 认证 中 心 则 可 能 要 求 提供 公证 书 或 指纹 。 认 证 中 心 通常 会 公布 对 证 件 的 要 求 ， 
这 样 就 让 各 认证 中 心 收 到 证 书 的 人 了 解 到 该 认证 中 心 的 验证 手续 的 严格 程度 。 认 证 中 心 数 
量 不 多 ， 在 国内 容 户 最 多 的 两 家 认证 中 心 是 上 海 数 字 证 书 认证 中 心 和 中 国 金 融 认证 中 心 。 

与 身份 证 一 样 ， 数 字 证 书 也 有 有 效 期 (一般 为 一 年 )。 这 种 限制 既 保 护 了 用 户 ， 又 保 
护 了 企业 。 对 期 限 的 要 求 迫使 企业 或 个 人 必须 定期 成 交 自己 的 证 明 以 供 重 新 评估 。 在 证 书 
上 或 者 有 证 书 的 网 页 打开 的 对 话 框 里 显示 有 效 期 。 过 了 有 效 期 的 数字 证 书 可 以 废弃 。 如 果 
认证 中 心 发 现 公司 曾经 发 送 过 恶意 的 代码 ， 就 可 以 单方 面 拒绝 发 放 新 证 书 或 撤销 现在 的 
证 书 。 

9.2.7 信息 隐蔽 


信息 隐蔽 〈Steganography) 是 指 隐藏 在 另 一 片 信息 中 的 信息 〈 如 命令 )， 其 目的 可 能 是 
恶意 的 。 一 般 情况 下 ， 计 算 机 文件 中 都 有 元 余 的 或 能 为 其 他 信息 所 替代 的 无 关 信息 。 后 者 
一 般 驻 留 在 背景 中 无 法 看 到 。 信 息 隐 蔽 提供 将 加 密 的 文件 隐藏 在 另 一 个 文件 中 的 保护 方式 ， 
粗心 的 观察 者 看 不 到 后 者 中 含有 重要 的 信息 。 在 这 个 两 步 处 理 中 ， 加 密 文件 是 让 其 不 能 


阅读 ， 而 信息 隐藏 是 使 信息 不 被 人 看 到 。 
很 多 安全 分 析 家 认为 网 络 攻击 者 采用 信息 隐藏 技术 将 攻击 指令 和 其 他 信息 藏 在 图 片 
里 ， 并 贴 在 同伙 可 以 看 到 的 网 站 上 。 采 用 信息 隐蔽 技术 隐藏 起 来 的 信息 很 难 被 发 现 。 


9.3 通信 的 安全 


互联 网 是 买方 〈 通 常 是 客户 端 ) 和 卖方 〈 通 常 是 服务 器 ) 之 间 的 电子 连接 。 在 学 习 通 
信安 全 时 , 要 时 刻 注意 的 是 互联 网 的 设计 目标 并 未 考虑 安全 。 虽 然 互联 网 起 源 于 军事 网 络 ， 
但 是 建造 网 络 的 主要 目的 不 是 为 了 安全 传输 ， 而 是 提供 元 余 传 输 ， 即 为 防止 一 个 或 多 个 通 
信 线 路 被 切断 。 换 句 话 说， 它 最 初 的 设计 目的 是 提供 多 条 路 径 来 传输 关键 的 军事 信息 。 军 
方 计划 以 加 密 形 式 传送 敏感 信息 ， 保 证 在 网 络 上 传输 的 任何 信息 都 是 在 保密 状态 。 但 在 网 
络 上 所 传输 信息 的 保密 性 是 通过 将 信息 转化 为 不 可 识别 字符 串 〈 称 作 密 文 ) 的 软件 来 实现 
的 。 在 互联 网 发 展演 变 的 过 程 中 也 没有 特别 增加 安全 机 制 。 

目前 互联 网 的 不 安全 状态 与 最 初 相 比 并 没有 太 大 改观 。 在 互联 网 上 传输 的 信息 ， 从 起 
始 节点 到 目标 节点 之 间 发 送信 息 时 ， 每 次 所 用 的 路 径 都 可 以 不 同 。 由 于 用 户 根本 无 法 控制 
传输 路 径 ， 也 不 知道 数据 包 经 过 的 节点 ， 因 此 某 个 中 间 节 点 就 可 能 会 读 取 信息 、 加 以 算 改 
或 删除 。 在 互联 网 上 传输 的 信息 都 会 受到 对 安全 、 完 整 和 即 需 的 侵犯 。 


9.3.1 对 保密 性 的 安全 威胁 


保密 是 网 络 使 用 者 经 常 提 及 的 一 种 安全 威胁 。 和 保密 紧密 相关 的 问题 是 隐私 ， 隐 私 也 
很 受 大众 关 注 。 人 们 每 天 都 会 读 到 侵犯 隐私 的 消息 。 保 密 和 隐私 虽然 很 相似 ， 但 却 是 不 同 
的 问题 。 保 密 是 防止 未 经 授权 的 信息 泄露 ， 而 隐私 是 保护 个 人 不 被 曝光 的 权利 。 某 些 有 关 
隐私 保护 的 组 织 机 构 专 门 帮助 企业 制定 隐私 保护 策略 ， 其 网 站 上 有 大 量 隐私 保护 资料 ， 涉 
及 企业 策略 与 法 律 问题 。 保 密 要 求 繁杂 的 物理 和 风 辑 安全 技术 ， 隐 私 则 需要 法 律 的 保护 。 
阐述 保密 与 隐私 的 区 别 的 一 个 经 典 例子 就 是 电子 邮件 。 

公司 的 电子 邮件 可 通过 加 密 技 术 来 防护 对 保密 性 的 破坏 。 在 加 密 时 信息 编码 成 为 不 可 
识别 的 形式 ， 只 有 制定 的 接受 者 才能 把 它 还 原 成 原来 的 消息 。 保 密 措施 是 用 来 保护 向 外 发 
送 的 消息 。 电 子 邮件 的 隐私 问题 则 涉及 是 否 允许 公司 主管 阅读 员工 的 消息 ， 争 端 集中 在 电 
子 邮 件 的 所 有 权 属 于 谁 ， 是 公司 还 是 发 电子 邮件 的 员工 。 本 节 讨 论 保 密 问 题 ， 即 不 让 未 经 
授权 的 人 阅读 不 想 让 他 们 阅读 的 信息 。 

开展 电子 商务 的 一 个 很 大 的 安全 威胁 就 是 敏感 信息 或 个 人 信息 (包括 信用 卡号 、 名 字 、 
地 址 或 个 人 喜好 方面 的 信息 等 ) 被 窃 。 这 种 事 会 发 生 在 某 人 在 网 上 填 表 来 提交 信用 卡 信息 
的 时 候 ， 有 恶意 的 人 想 从 互联 网 上 记录 数据 包 《〈 即 破坏 安全 性 ) 并 不 困难 。 在 电子 邮件 传 
输 时 也 会 发 生 同 样 的 问题 。sniffer 软件 能 够 侵入 互联 网 并 记录 通过 某 台 计算 机 或 路 由 器 的 
信息 。sniffer 软件 类 似 于 在 电话 线 上 搭 线 并 录 下 一 段 对话 。 探 测 程序 既 可 以 阅读 电子 邮件 
信息 ， 也 可 以 记录 电子 商务 信息 ， 如 用 户 注册 名 、 口 令 和 信用 卡号 。 

安全 专家 经 常会 发 现 电子 商务 软件 上 的 漏洞 ， 也 叫做 “后 门 ”。 这 些 漏 洞 是 软件 开发 
人 员 有 意 或 无 意 留 下 来 的 。 知 道 “ 后 门 ”存在 的 网 络 攻击 者 可 以 利用 它 宕 视 交 易 ， 删 除数 
据 或 窃取 数据 。 
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窃取 信用 卡号 是 大 家 很 关心 的 问题 ， 但 发 给 分 公司 的 关于 公司 专利 产品 的 信息 或 不 公 

开 的 数据 也 可 以 被 轻易 地 中 途 截 取 ， 而 公司 的 保密 信息 可 能 比 信用 卡 更 有 价值 。 因 为 信用 
卡 往往 有 消费 额度 限制 ， 而 公司 被 窃取 的 信息 可 能 是 数 以 百 万 的 价值 。 
下 面 讲 一 个 窃听 者 截取 机 密 信息 的 例子 。 假 定 某 用 户 登 录 一 个 网 站 ， 该 网 站 上 有 一 个 
表 要 用 户 填 写 姓名 、 地 址 和 电子 邮件 地 址 。 当 用 户 填 完 这 些 表 格 后 用 鼠标 单 击 Submit 按钮 ， 
这 时 信息 就 会 被 发 送 给 WWW 服务 器 去 处 理 。 有 些 WWW 服务 器 获取 数据 的 办 法 是 收集 
用 户 在 编辑 框 中 的 回答 信息 ， 把 它 放 在 目标 服务 器 URL 地 址 的 末端 ， 这 个 加 长 的 URL 地 
址 就 会 加 入 到 客户 同 该 网 站 的 服务 器 来 回 传输 的 所 有 HITP 请 求 与 应 答 的 消息 中 。 

如 果 该 用 户 临 时 改变 主意 ， 决 定 不 再 等 待 该 网 站 服务 器 的 反应 ， 跳 到 另 一 个 网 站 ， 那 
么 第 二 个 网 站 的 服务 器 可 能 会 收集 WWW 的 使 用 统计 ， 并 记录 用 户 刚 访问 的 URL。 使 用 
这 种 记录 URL 技术 来 识别 客户 访问 是 完全 合法 的 。 但 是 , 第 二 个 网 站 的 管理 员 就 可 以 读 取 
此 URL， 他 记录 了 用 户 在 第 一 个 网 站 的 文本 框 里 输入 的 信息 ， 包 括 保密 的 信息 。 

在 使 用 WWW 的 同时 ， 用 户 也 在 不 断 地 暴露 自己 的 信息 ， 其 中 包括 卫 地 址 和 所 用 的 
浏览 器 ， 这 也 是 破坏 保密 性 的 例子 。 很 多 网 站 提供 一 种 “匿名 浏览 ”的 服务 ， 可 使 用 户 所 
访问 的 网 站 看 不 到 用 户 的 个 人 信息 。 其 中 之 一 是 美国 的 Anonymizer 网 站 将 自己 的 地 址 放 在 
用 户 要 访问 的 URL 地 址 前 ， 这 就 使 其 他 网 站 只 能 看 到 Anonymizer 网 站 的 信息 而 不 是 用 户 
的 信息 。 这 样 就 实现 了 匿名 浏览 。 但 是 比较 麻烦 ， 因 为 每 次 都 需要 在 Anonymizer 主页 的 文 
本 框 里 输入 要 访问 网 站 的 URL。 为 了 方便 访问 , Anonymizer 及 类 似 的 公司 都 提供 浏览 器 插 
件 供 消费 者 下 载 ， 但 是 需要 一 定 的 成 本 。 


9.3.2 ”对 完整 性 的 安全 威胁 


对 完整 性 的 安全 威胁 也 叫 主动 搭 线 写 听 ， 当 未 经 授权 就 更 改 了 信息 流 时 就 构成 了 对 完 
整 性 的 安全 威胁 。 未 保护 的 银行 交易 《如 在 互联 网 上 传输 的 储蓄 交易 ) 很 容易 受到 针对 完 
整 性 的 攻击 。 当 然 ， 破 坏 了 完整 性 也 就 意味 着 破坏 了 保密 性 ， 能 改变 信息 的 网 络 攻击 者 肯 
定 能 阅读 此 信息 。 完 整 性 和 保密 性 之 间 的 差别 在 于 : 对 保密 性 的 安全 威胁 是 指 某 人 看 到 了 
其 不 该 看 到 的 信息 ， 而 对 完整 性 的 安全 威胁 是 指 某 人 改动 了 关键 的 传输 。 

破坏 他 人 网 站 就 是 破坏 完整 性 的 例子 。 破 坏 他 人 网 站 是 指 以 电子 方式 破坏 某 个 网 站 的 
网 页 ， 这 种 行为 相当 于 破坏 他 人 财产 或 在 公共 场所 涂鸦 。 当 某 人 用 自己 的 网 页 蔡 换 某 个 网 
站 的 正常 内 容 时 ， 即 发 生 了 破坏 他 人 网 站 的 行为 。 近 来 媒体 有 多 起 破坏 网 页 的 报道 ， 如 某 
些 商 业 网 站 的 内 容 被 他 人 用 黄色 内 容 或 其 他 不 堪 入 目的 内 容 替 代 。 
电子 伪装 也 是 破坏 网 站 的 例子 。 电 子 伪 装 是 指 某 人 伪装 成 他 人 或 将 某 个 网 站 伪装 成 另 
一 个 网 站 。 这 些 破 坏 利用 了 域名 服务 器 的 一 个 安全 漏洞 ， 将 一 个 真实 网 站 的 地 址 蔡 换 成 自 
己 网 站 的 地 址 ， 欺 骗 这 些 网 站 的 访问 者 。 

例如 , 网 络 攻击 者 用 DNS 的 安全 漏洞 将 某 电 子 商务 公司 的 他 地 址 用 自己 的 亿 地 址 替 
换 , 这 就 将 网 站 的 访问 者 引 到 一 个 虚假 网 站 。 这 样 网 络 攻击 者 就 可 以 改变 订单 中 的 订购 量 ， 
并 改变 送 货 地 址 。 这 种 对 完整 性 侵犯 的 订单 被 发 给 一 家 公司 的 电子 商务 网 站 ， 这 家 电子 商 
务 网 站 并 不 知道 已 经 发 生 了 对 完整 性 的 破坏 ， 它 只 简单 验证 顾客 的 信用 卡 后 就 开始 履行 订 
单 。 近 年 来 很 多 著名 的 电子 商务 网 站 都 曾 遭 受 电子 伪装 的 攻击 ， 其 中 包括 Amazon、eBay 
和 PayPal 等 。 有 些 攻击 还 将 垃圾 邮件 和 电子 伪装 结合 起 来 。 诈 骗 犯 发 出 数 百 万 电子 邮件 ， 


这 些 电 子 邮 件 看 起 来 像 是 著名 公司 发 出 的 ， 在 这 些 电子 邮件 中 连接 所 指向 的 网 页 非常 类 似 
著名 公司 的 网 站 。 然 后 诱导 受害 人 输入 用 户 名 、 口 令 甚至 信用 卡号 码 。 这 种 诈 取 客户 机 密 
信息 的 行为 称 为 钓鱼 攻击 。 钓 鱼 攻击 的 受害 人 往往 都 是 网 上 银行 或 结算 系统 等 网 站 。 


9.3.3 对 即 需 性 的 安全 威胁 


对 即 需 性 的 安全 威胁 也 叫 延迟 服务 安全 威胁 或 拒绝 服务 安全 威胁 (DoS)， 其 目的 是 破 
坏 正 常 的 计算 机 处 理 或 完全 拒绝 处 理 。 破 坏 即 需 性 后 ， 计 算 机 的 处 理 速度 会 非常 慢 。 如 果 
一 台 自 动 取款 机 的 交易 处 理 速度 从 一 两 秒 慢 到 30s， 用 户 就 可 能 会 放弃 自动 取款 机 交易 。 
同样 ， 降 低 互联 网 服务 的 速度 会 把 顾客 赶 到 竞争 者 的 网 站 ， 再 也 不 会 回来 。 换 名 话说， 降 
低 处 理 速度 会 导致 服务 无 法 使 用 或 没有 吸引 力 。 

拒绝 攻击 会 将 一 个 交易 或 文件 中 的 信息 全 部 删除 。 媒 体 曾 报道 过 一 次 拒绝 攻击 ， 受 到 
攻击 的 PC 上 的 理财 软件 将 钱 都 汇 到 别 的 银行 账户 ， 这 就 使 合法 所 有 者 无 法 提取 这 些 钱 。 
另 一 次 有 名 的 拒绝 攻击 的 受害 者 是 Amazon 和 Yahoo 等 知名 的 电子 商务 网 站 。 攻 击 者 从 被 
控制 的 计算 机 上 发 出 大 量 数据 包 ， 渡 没 了 这 些 电子 商务 网 站 ， 使 合法 用 户 根本 无 法 登录 这 
些 网 站 。 在 攻击 前 ， 罪 犯 先 寻找 到 一 些 安全 措施 比较 差 的 计算 机 ， 将 发 起 攻击 的 软件 上 传 
到 这 些 计算 机 上 ， 使 这 些 计算 机 成 为 僵尸 主机 ， 通 过 这 些 僵 尸 主机 来 发 起 攻击 。 


9.3.4 ”对 互联 网 通信 信道 物理 安全 的 威胁 


互联 网 设计 的 初衷 是 抵御 对 物理 通信 连接 的 威胁 。 导 致 互联 网 出 现 的 美国 政府 研究 项 
目的 目的 就 是 协调 军事 行动 的 抗 攻 击 技 术 。 因 此 ， 基 于 包 的 网 络 设计 使 互联 网 不 会 受到 网 
上 一 条 线路 攻击 的 影响 。 

但 是 ， 个 人 上 网 服务 会 受到 对 此 人 接 入 互联 网 的 线路 进行 破坏 的 影响 。 没 有 人 上 网 是 
与 ISP 进行 多 路 连接 的 。 然 而 ， 大 公司 及 ISP 自己 一 般 都 有 多 条 连接 ， 而 且 每 条 连接 来 自 
多 个 ISP。 如 一 条 连接 断 开 ， 服 务 商 可 将 访问 转 入 到 另 一 个 访问 服务 商 的 连接 ， 以 保证 组 
织 、 企 业 或 ISP 能 够 连 入 互联 网 。 


9.3.$S ”对 无 线 网 的 威胁 


网 络 可 用 无 线 访问 点 (WAP) 向 数 百 米内 的 计算 机 和 移动 设备 提供 网 络 连接 。 如 果 不 
加 保护 ， 物 联网 覆盖 范围 内 的 任何 人 都 可 以 登录 ， 访 问 网 上 的 所 有 资源 ， 包 括 连接 到 网 上 
的 计算 机 所 存储 的 数据 、 网 络 打印 机 、 网 上 发 送 的 信息 ， 甚 至 免费 接 入 互联 网 。 这 种 连接 
的 安全 依赖 WiFi 保护 性 接 入 协议 “WPA )， 即 在 无 线 设 备 与 WAP 之 间 传 输 加 密 信 息 的 规 
则 集 。 

有 大 型 无 线 网 络 的 公司 必须 启动 设备 的 WPA, 小 公司 或 家 里 安装 了 无 线 网 络 的 个 人 一 
般 也 需要 启动 WPA 安全 功能 。 许 多 WAP 出 三 时 就 设置 了 缺 省 的 账户 与 口令 ， 公 司 在 安装 
时 往往 不 更 改 ， 结 果 就 留 下 了 一 个 新 的 入 侵 路 径 。 

在 无 线 网 使 用 率 很 高 的 城市 里 ， 攻 击 者 驾车 用 计算 机 笔记 本 上 网 搜索 可 访问 的 网 络 ， 
这 种 攻击 者 是 攻击 驾驶 员 。 他 们 一 旦 发 现 一 个 开放 的 网 络 (或 使 用 缺 省 账户 与 口令 的 
WAP)， 就 向 其 他 网 络 攻击 者 提供 容易 进入 的 无 线 网 络 。 有 些 人 甚至 建 了 网 站 ， 公 布 世 界 
各 大 城市 无 线 访问 地 点 的 地 图 。 所 以 要 求 公司 启动 访问 点 设备 上 的 WPA 并 更 改 缺 省 的 账 
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户 与 口令 ， 以 此 避免 成 为 目标 。 
9.3.6 ”加 密 


在 前 面 的 章节 曾经 提 到 过 加 密 的 相关 问题 ， 而 且 已 经 知道 数据 加 密 方 法 包括 对 称 加 密 
与 非 对 称 加 密 两 种 。 与 对 称 密 钥 系统 相 比 ， 非 对 称 系统 有 若干 优点 。 首 先 ， 在 多 人 之 间 进 
行 保密 信息 传输 所 需 的 密 钥 组 合 数 量 很 小 。 在 n 个 人 彼此 之 间 传 输 保密 信息 ， 只 需要 n 对 
公开 密 钥 ， 远 远 小 于 私有 密 钥 加 密 系 统 要 求 的 数量 。 其 次 ， 密 钥 的 发 布 不 成 问题 。 最 后 ， 
公开 密 钥 系统 可 实现 数字 签名 。 这 就 意味 着 将 电子 文档 签名 后 再 发 给 别人 ， 而 签名 者 无 法 
和 否认。 也 就 是 说 ， 采 用 公开 密 钥 技 术 ， 除 签名 者 外 他 人 无 法 以 电子 方式 进行 签名 ， 而 且 签 
名 者 事后 也 不 能 否认 曾 以 电子 方式 签 过 文档 。 

非 对 称 加 密 系 统 也 有 若干 缺点 ， 其 中 之 一 是 加 密 和 解密 过 程 比 对 称 加 密 系统 的 速度 慢 
得 多 。 如 果 用 户 和 顾客 在 互联 网 上 进行 商务 活动 ， 加 密 和 解密 需要 的 时 间 会 很 多 。 公 开 密 
钥 系统 并 不 是 要 取代 私有 密 钥 系统 ， 相 反 ， 它 们 相互 补充 。 因 此 ， 可 用 公开 密 钥 在 互联 网 
上 传输 私有 密 钥 ， 从 而 实现 更 有 效 的 安全 网 络 传输 。 安 全 商务 服务 器 可 用 多 种 加 密 算法 。 
很 多 国家 规定 某 些 加 密 算法 只 能 在 本 国境 内 使 用 , 而 有 些 功能 较 差 的 算法 可 以 流传 到 境外 。 
由 于 安全 商务 服务 器 必须 同 浏览 器 进行 通信 ， 因 此 通常 要 采用 多 种 不 同 的 加 密 算法 来 适应 
不 同 浏览 器 的 不 同 版 本 。 

第 二 个 和 加 密 相关 的 安全 技术 是 安全 套 接 层 协议 (SSL) 和 安全 超 文 本 传输 协议 
(CS-HTTP)。 安 全 套 接 层 协议 由 网 景 公 司 提 出 ， 安 全 超 文 本 传输 协议 由 CommerceNet 协会 
指定 ， 这 是 用 互联 网 进行 安全 信息 传输 的 两 个 协议 。SSL 和 S-HTTP 支持 客户 端 和 服务 器 
对 彼此 在 安全 WWW 会 话 过 程 中 的 加 密 和 解密 活动 的 管理 。 

SSL 和 S-HTTP 有 不 同 的 目标 。SSL 是 支持 两 台 计算 机 间 的 安全 连接 ， 而 S-HTTP 则 
是 为 了 安全 地 传输 信息 。SSL 和 S-HTTP 都 是 透明 地 自动 完成 发 出 信息 的 加 密 和 收 到 信息 
的 解密 工作 。 

在 电子 商务 过 程 中 ，SSL 在 客户 端 和 服务 器 开始 交换 一 个 简短 信息 时 提供 一 个 安全 的 
“握手 ”信和 号。 在 开始 交换 的 信息 中 ， 双 方 确定 将 用 的 安全 级 别 并 交换 数字 证 书 。 每 台 计 算 
机 都 要 正确 识别 对 方 。 确 认 完 成 后 ，SSL 对 在 这 两 台 计 算 机 之 间 传 输 的 信息 进行 加 密 和 解 
密 。 这 将 意味 着 对 HTTP 请 求 和 HRRP 响应 都 进行 加 密 ， 所 加 密 的 信息 包括 客户 端 所 请 求 
的 URL、 用 户 所 填 的 各 种 表 (如 信用 卡号 ) 和 HTTP 访问 授权 数据 (如 用 户 名 和 口令 ) 等 。 
简 而 言 之 ，SSL 支持 的 客户 端 和 服务 器 间 的 所 有 通信 都 加 密 了 。 在 SSL 对 所 有 通信 都 加 密 
后 ， 窃 听 者 得 到 的 是 无 法 识别 的 信息 。 

除了 HTTP 外 ，SSL 还 对 计算 机 之 间 的 各 种 通信 提供 安全 保护 。 例 如 ，SSL 可 为 FTP 
会 话 提 供 安 全 保护 ， 支 持 敏感 的 文档 、 电 子 报表 和 其 他 数据 的 安全 上 传 和 下 载 。SSL 能 保 
证 Telnet 会 话 的 安全 。 在 此 会 话 中 , 远程 计算 机 用 户 要 登录 公司 主机 并 传输 口令 和 用 户 名 。 
实现 SSL 的 协议 是 HTTP 的 安全 版 ， 名 为 HTTPS。 在 URL 前 用 HTTPS 协议 就 意味 着 要 
和 服务 器 之 间 建 立 一 个 安全 的 连接 。 

SSL 有 多 种 安全 级 别 : 40 位 、56 位 、128 位 和 168 位 。 这 是 指 每 个 加 密 交 易 所 生成 的 
私有 会 话 密 钥 的 长 度 。 会 话 密 钥 是 加 密 算法 为 在 安全 会 话 过 程 中 将 明文 转 成 密 文 所 用 的 密 
钥 。 密 钥 越 长 ， 加 密 对 攻击 的 抵抗 就 越 强 。 进 入 SSL 会 话 的 浏览 器 会 有 指示 (很 多 浏览 


的 状态 条 会 有 一 个 图 标 )。 一 旦 会 话 结束 ， 会 话 密 钥 将 被 永远 抛弃 ， 不 再 使 用 。 

下 面 了 解 一 下 客户 端 和 电子 商务 服务 器 之 间 在 信息 交换 时 SSL 的 工作 方式 。SSL 需要 
认证 服务 器 ， 并 对 两 台 计 算 机 之 间 所 有 的 传输 进行 加 密 。 客 户 端的 浏览 器 在 登录 服务 器 的 
安全 网 站 时 ， 服 务 器 将 要 求 发 给 浏览 器 〈 客 户 端 )， 浏 览 器 以 客户 端 来 回应 。 这 些 握 手 交换 
使 两 台 计 算 机 确定 它们 支持 的 压缩 和 加 密 标 准 。 

接着 ， 浏 览 器 要 求 服务 器 提供 数字 证 书 。 作 为 响应 ， 服 务 器 发 给 浏览 器 一 个 认证 中 心 

签名 的 证 书 。 浏 览 器 检查 服务 器 证 书 的 数字 签名 与 浏览 器 所 存储 的 认证 中 心 的 公开 密 钥 是 
和 否 一 致 。 一 旦 认证 中 心 的 公开 密 钥 得 到 验证 ， 签 名 也 就 证 实 了 。 此 动作 完成 了 对 商务 服务 
器 的 认证 。 
由 于 客户 端 和 服务 器 需要 在 互联 网 上 传输 信用 卡号 、 发 票 和 验证 代码 等 ， 因 此 双方 都 
同意 对 所 交换 的 信息 进行 安全 保护 。 使 用 非 对 称 加 密 和 对 称 加 密 来 实现 信息 的 保密 。 虽 然 
公开 密 钥 非常 方便 ， 但 速度 较 慢 ， 这 也 就 是 SSL 对 几乎 所 有 的 安全 通信 都 使 用 对 称 密 钥 加 
密 的 原因 。 由 于 使 用 对 称 密 钥 加 密 ，SSL 需要 让 客户 端 和 服务 器 共享 一 个 对 称 密 钥 ， 而 同 
时 不 让 窃听 者 得 到 。 实 现 的 方法 是 在 浏览 器 为 双方 生成 一 个 对 称 密 钥 ， 然 后 由 浏览 器 用 服 
务 器 的 公开 密 钥 对 此 对 称 密 钥 进行 加 密 。 公 开 密 钥 存 储 在 服务 器 ， 认 证 是 发 给 浏览 器 的 数 
字 证 书 上 。 对 对 称 密 钥 加 密 后 ， 浏 览 器 把 它 发 给 服务 器 ， 服 务 器 用 其 私有 密 钥 对 它 解密 ， 
得 到 双方 共用 的 对 称 密 钥 。 

所 以 就 不 再 使 用 公开 密 钥 了 ， 只 需 用 对 称 密 钥 加 密 。 现 在 ， 在 客户 端 和 服务 器 之 间 传 
输 的 所 有 消息 都 用 共享 的 对 称 密 钥 进行 加 密 ， 此 密 钥 也 叫 会 话 密 钥 。 会 话 结束 后 ， 此 密 钥 
就 被 丢弃 。 客 户 端 和 安全 服务 器 重新 建立 连接 时 ， 从 浏览 器 和 服务 器 握手 开始 的 整个 过 程 
将 重复 一 遍 。 根据 客户 端 和 服务 器 间 的 协议 , 可 使 用 40 位 或 128 位 的 加 密 ， 以 确定 所 用 的 
加 密 算法 。 

安全 HTTP(S-HTTP) 是 HITP 的 扩展 ， 它 提供 了 多 种 安全 功能 ， 包 插 客户 端 与 服务 
嚣 认证、 加密、 请求 /响应 的 不 可 否认 等 。S-HTTP 提供 了 用 于 安全 通信 的 对 称 加 密 、 用 于 
客户 端 与 服务 器 认证 的 公开 密 钥 加 密 。 客 户 端 和 服务 器 能 单独 使 用 S-HTTP 技术 。 也 就 是 
说 ， 客 户 端的 浏览 器 可 用 对 称 密 钥 得 到 安全 保证 ， 而 服务 器 可 用 公开 密 钥 技术 来 请 求 对 客 
户 端的 认证 。 

在 客户 端 和 服务 器 开始 的 握手 会 话 中 完成 S-HTTP 安全 的 细节 设置 。 客 户 端 和 服务 器 
都 可 指定 某 个 安全 功能 为 必需 (Required)、 可 选 (Optional) 还 是 拒绝 (Refused)。 当 其 中 
一 方 确 定 了 某 个 安全 特性 为 “必需 ”时 ， 只 有 另 一 个 (客户 端 或 服务 器 同意 执行 同样 的 
安全 功能 时 才能 开始 连接 ， 否 则 就 不 能 建立 安全 通信 。 假 定 客户 端的 浏览 器 要 求 用 加 密 来 
实现 所 有 通信 的 保密 ， 这 就 好 比 一 个 流行 时 装 设计 师 从 菜 纺织 厂 所 采购 的 所 有 丝绸 交易 都 
是 保密 的 ， 让 竞争 者 无 法 探听 到 下 一 个 季节 会 流行 什么 样 的 纺织 品 。 另 外 ， 这 家 纺织 厂 可 
能 会 要 求 保护 信息 的 完整 性 ， 以 便 向 采购 者 提供 的 数量 和 价格 是 完整 的 。 而 且 ， 纺 织 厂 还 
会 要 求 能 够 确认 采购 者 身份 ， 以 确认 不 是 假冒 者 。 所 谓 “ 不 可 否认 ”的 安全 属性 提供 了 客 
户 端 发 出 消息 的 正面 确认 。 也 就 是 说 ， 该 客户 端 无 法 否认 它 曾 提供 此 消息 。 

S-HTTP 与 SSL 的 不 同 之 处 在 于 S-HTTP 建立 了 一 个 安全 会 话 。SSL 通过 客户 端 与 服 
务 器 的 “握手 ”建立 了 一 个 安全 通信 ， 而 S-HTTP 则 通过 在 S-HTTP 交换 包 的 特殊 头 标志 
来 建立 安全 通信 。 头 标志 定义 了 安全 技术 的 类 型 ， 包 括 使 用 私有 密码 加 密 、 服 务 器 认证 、 


第 
9 
章 


史 子 丙 矢 交会 


风疹 颁 会 与 合理 ( 谎 二 把 ) 


客户 端 认 证 和 消息 的 完整 性 。 头 标志 的 交换 也 确定 了 各 方 所 支持 的 加 密 算 法 ， 不 论 客户 端 
或 服务 器 〈 或 双方 ) 是 否 支 持 这 种 算法 ， 也 不 论 是 必需 、 可 选 还 是 拒绝 此 安全 技术 〈 如 保 
密 性 )。 一 旦 客户 端 和 服务 器 同意 彼此 之 间 安 全 措施 的 实现 , 那么 在 此 会 话 中 的 所 有 信息 将 
封装 在 安全 信封 里 。 安 全 信封 〈Secure Envelope) 是 通过 将 一 个 消息 封装 起 来 以 提供 保密 
性 、 完 整 性 和 客户 端 与 服务 器 认证 。 换 句 话 说， 安全 信封 是 一 个 完整 的 包 。 在 网 络 或 互联 
网 上 传输 的 所 有 信息 都 可 用 它 进行 加 密 以 防止 他 人 阅读 。 信 息 被 改变 会 立即 察觉 ， 因 为 完 
整 性 机 制 提供 了 能 标示 消息 是 否 被 改变 的 探测 码 。 客 户 端 和 服务 器 认证 是 通过 认证 中 心 所 
签发 的 数字 证 书 来 实现 的 ， 安 全 信封 组 合 所 有 这 些 安全 功能 。 现 在 很 多 网 站 不 再 使 用 
S-HTTP，SSL 已 成 为 客户 端 与 服务 器 之 间 安 全 通信 的 事实 标准 。 

现在 已 经 了 解 了 如 何 用 加 密 来 保证 消息 的 保密 性 ， 也 了 解 了 数字 证 书 如 何 实现 向 客户 
端 认证 服务 器 及 向 服务 器 认证 客户 端 ， 但 还 不 知道 如 何 实现 消息 的 完整 性 。 下 面 介绍 如 何 
防止 更 改 传输 过 程 中 的 消息 。 


9.3.7 ”用 散 列 函 数 保证 交易 的 完整 性 


电子 商务 最 终 都 要 涉及 客户 端 浏览 器 向 商务 服务 器 发 出 结算 信息 、 订 单 信息 ， 然 后 结 
算 指 令 人 及 商务 服务 器 需 向 客户 端 返回 订单 确认 信息 。 如 果 侵入 者 改变 了 所 传输 订单 的 任 
何 内 容 ， 就 会 带 来 灾难 性 的 后 果 。 例 如 ， 侵 入 者 可 能 会 改变 收 货 地 址 或 订购 数量 ， 这 样 就 
能 够 收 到 客户 订购 的 产品 。 这 是 一 个 破坏 完整 性 的 例子 ， 消 息 在 发 送 者 和 接收 者 之 问 传输 
时 被 改变 了 。 

虽然 要 防止 罪犯 改变 消息 非常 困难 ， 而 且 成 本 也 很 高 ， 但 有 很 多 技术 能 够 让 接收 者 检 
测 消息 是 否 被 破坏 。 接 收 者 如 果 发 现 消 息 被 破坏 了 ， 只 需要 求 发 送 者 重 发 此 信息 。 除 了 消 
息 被 改变 使 双方 操作 出 现 麻 烦 外 ， 这 个 被 破坏 的 消息 并 没有 带 来 任何 实际 的 破坏 后 果 。 只 
有 当 信 息 的 接收 者 没有 发 现 这 种 未 经 授权 的 消息 变更 时 才 会 发 生 实际 的 破坏 。 

可 用 多 种 技术 的 组 合 来 创建 能 防止 被 修改 同时 能 认证 的 消息 。 另 外 ， 这 些 技术 还 提供 
了 不 可 否认 的 功能 ， 即 消息 的 发 出 者 无 法 声称 此 消息 不 是 由 他 发 出 的 。 为 消除 因 消 息 被 更 
改 而 导致 的 欺诈 和 滥用 行为 ， 可 将 两 个 算法 同时 应 用 到 消息 上 。 首 先 用 散 列 算法 ， 散 列 算 
法 是 单 向 函数 ， 即 无 法 根据 散 列 值得 到 原 消息 。 这 一 点 很 重要 ， 因 为 一 个 散 列 值 只 能 用 于 
与 男 一 个 散 列 值 的 比较 。 

加 密 程 序 将 文本 转换 成 消息 摘要 ， 散 列 算法 不 需要 密 钥 ， 所 生成 的 消息 摘要 无 法 还 原 
成 原始 信息 ， 其 算法 和 信息 都 是 公开 的 ， 而 且 散 列 冲突 也 很 少 发 生 。 由 散 列 函数 计算 出 散 
列 值 后 , 就 将 此 值 附加 到 这 条 消息 上 。 假定 此 消息 是 内 有 客户 地 址 和 结算 信息 的 采购 订单 ， 
当 商 家 收 到 采购 订单 及 附加 的 消息 摘要 后 ， 就 用 此 消息 (不 含 附加 的 消息 摘要 〉 计 算出 一 
个 消息 摘要 。 如 果 商 家 所 计算 出 的 消息 摘要 与 消息 所 附 的 消息 摘要 匹配 ， 商 家 就 知道 此 消 
息 没 有 被 算 改 ， 即 侵入 者 未 曾 更 改 商 品 数量 和 送 货 地 址 。 如 果 侵 入 者 更 改 了 消息 ， 商 家 计 
算出 的 消息 摘要 就 会 和 客户 计算 并 随 订单 发 来 的 消息 摘要 不 同 。 


9.3.8 ”用 数字 签名 保证 交易 的 完整 性 


单 靠 散 列 算法 还 不 行 。 散 列 算法 是 公开 的 ， 任 何人 都 可 中 途 拦截 采购 订单 ， 更 改 送 货 
地 址 和 商品 数量 后 重新 生成 消息 摘要 ， 然 后 将 新 生成 的 消息 摘要 及 消息 发 给 商家 。 商 家 收 


到 后 计算 消息 摘要 ， 会 发 现 这 两 个 消息 摘要 相 匹 配 ， 这 时 商家 就 受到 了 愚弄 ， 以 为 此 消息 
是 真实 的 。 为 防止 这 种 欺诈 ， 发 送 者 要 用 自己 的 私有 密 钥 对 消息 摘要 加 密 。 

加 密 以 后 的 消息 摘要 称 为 数字 签名 。 带 数字 签名 的 采购 订单 就 可 让 商家 确认 发 送 者 的 
身份 并 确定 此 消息 是 否 被 更 改过 。 由 于 要 对 消息 摘要 用 公开 密 钥 加密 ， 这 就 意味 着 只 有 公 
开 /私有 密 钥 的 所 有 者 才能 对 消息 摘要 进行 加 密 。 这 时 商家 就 用 客户 的 公开 密 钥 对 消息 进行 
解密 并 计算 出 消息 摘要 ， 如 果 结 果 匹 配 ， 就 说 明 消 息 发 送 者 的 身份 真实 。 另 外 ， 散 列 值 匹 
配 说 明 的 确 是 发 送 者 制作 了 此 消息 (不 可 否认 ), 因为 只 有 他 的 私有 密 钥 所 生成 的 加 密 消息 
才能 用 其 公开 密 钥 解 开 。 这 样 就 解决 了 欺骗 问题 。 

如 果 需 要 的 话 ， 除 数字 签名 所 提供 的 消息 完整 性 和 认证 之 外 ， 交 易 双 方 还 可 要 求 保证 
交易 的 保密 性 。 只 要 对 整个 字符 串 〈 数 字 签 名 和 消息 ) 进行 加 密 ， 就 可 保证 消息 的 保密 性 。 
同时 使 用 公开 密 钥 加 密 、 消 息 摘要 和 数字 签名 能 够 为 互联 网 交易 提供 可 靠 的 安全 性 。 


9.3.9 保证 交易 传输 


本 章 前 面 已 经 见 过 ， 拒 绝 或 延迟 服务 攻击 会 删除 或 占用 资源 。 加 密 和 数字 签名 都 无 法 
保护 数据 包 不 被 盗 取 或 速度 降低 。TCP/IP 中 的 传输 控制 协议 CTCP) 负责 对 信息 包 的 端 到 
端 控制 。 当 TCP 在 接收 端 以 正确 次 序 重组 包 时 ， 还 会 处 理 包 丢失 问题 。TCP/AP 的 职责 会 
要 求 客户 端 重新 发 来 丢失 的 数据 。 也 就 是 说 ， 在 TCP/IP 之 上 不 再 需要 其 他 安全 协议 来 处 
理 拒绝 服务 的 问题 ，TCP 在 数据 里 加 入 校 验 位 ， 这 样 就 能 知道 数据 包 是 否 被 改变 、 丢 失 或 
出 现 其 他 问题 。 


9.4 服务 器 的 安全 


客户 端 、 互 联网 和 服务 器 的 电子 商务 链 上 的 第 三 个 环节 是 服务 器 。 对 企图 破坏 或 非法 
获取 消息 的 人 来 说 , 服务 器 有 很 多 弱点 可 被 利用 。 其 中 一 个 入 口 是 WWW 服务 器 及 其 软件 ， 
其 他 入 口 包括 任何 有 数据 的 后 台 程序 ， 如 数据 库 和 数据 库 服务 器 。 尽 管 没 有 系统 能 够 实现 
绝对 的 安全 ， 但 电子 商务 服务 器 管理 员 的 工作 就 是 制定 出 安全 措施 ， 并 考虑 电子 商务 系统 
每 个 部 分 的 安全 措施 。 
9.4.1 对 WWW 服务 器 的 安全 威胁 


WWW 服务 器 软件 可 响应 HTTP 请 求 进行 页 面 传输 ,虽然 WWW 服务 器 软件 本 身 并 没 
有 内 在 的 高 风险 性 , 但 其 主要 涉及 目标 是 支持 WWW 服务 和 方便 其 使 用 , 所 以 软件 越 复杂 ， 
包含 错误 代码 的 概率 就 越 高 ， 安 全 漏洞 的 出 现 概率 也 越 高 。 安 全 漏洞 是 指 破坏 者 可 因 之 进 
入 系统 的 安全 方面 的 缺陷 。 

如 果 WWW 服务 器 允许 自动 显示 目录 , 其 保密 性 就 会 大 打折 扣 。 如 果 一 个 服务 器 的 文 
件 夹 名 能 让 浏览 器 看 到 ， 其 保密 性 就 会 被 破坏 。 例 如 ， 当 用 户 为 查看 FAQ 子 目 录 的 缺 省 页 
面 而 输入 http://www.somecompany.com/FAQ/ 时 就 可 能 发 生 这 种 情况 。 通 常服 务 器 显示 的 缺 
省 页 面 为 mdex-htm 或 index.html， 如 果 目 录 中 没有 这 样 的 文件 ，WWW 服务 器 就 会 显示 出 
此 目录 下 所 有 的 文件 夹 名 。 这 时 用 户 就 可 随便 点 击 其 中 一 个 文件 夹 名 ， 从 而 访问 到 本 应 是 
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限制 访问 的 某 些 文件 夹 。 细 心 的 网 站 管理 员 会 将 文件 夹 名 显示 功能 关闭 ， 当 某 人 试图 浏览 
这 种 文件 夹 时 ，WWW 服务 器 就 会 警告 此 目录 不 能 访问 。 

当 WWW 服务 器 要 求 用 户 输入 用 户 名 和 口令 时 , 其 安全 性 也 会 大 打折 扣 。 输 入 用 户 名 
来 获得 进入 WWW 特定 区 域 的 允许 ,其 行为 本 身 并 不 会 破坏 保密 性 或 隐私 性 。 但 当 用 户 访 
问 同一 WWW 服务 器 上 受 保护 区 域 的 多 个 页 面 时 ， 用 户 名 和 口令 就 可 能 被 泄露 。 引起 这 种 
情况 的 原因 之 一 是 某 些 服务 器 要 求 用 户 在 访问 安全 区 域 中 的 每 个 页 面 时 都 要 输入 用 户 名 和 
口令 。 因 为 WWW 是 无 状态 的 ， 记 录用 户 名 和 口令 的 最 方便 方式 就 是 将 用 户 的 保密 信息 存 
在 他 计算 机 上 的 Cookie 里 ， 这 样 服务 器 就 可 以 请 求 计算 机 发 出 Cookie 的 方式 来 请 求 得 到 
确认 。 虽 然 Cookie 本 身 并 非 不 安全 , 但 WWW 服务 器 无 法 要 求 不 加 保护 地 传输 Cookie 里 
的 信息 。 

WWW 服务 器 上 最 敏感 的 文件 之 一 就 是 存放 用 户 名 和 口令 的 文件 。 如 果 此 文件 没有 得 
到 保护 ， 任 何人 就 都 能 以 他 人 身份 进入 敏感 区 域 。 如 果 没 有 对 用 户 信息 加 密 ， 侵 入 者 就 能 
得 到 用 户 名 和 口令 信息 。 大 多 数 WWW 服务 器 都 会 把 用 户 认证 信息 放 在 安全 区 里 。 

用 户 所 选 的 口令 也 会 构成 安全 威胁 。 有 时 用 户 所 选 的 口令 很 容易 被 猜 出 ， 因 为 口令 可 
能 是 父母 或 孩子 的 名 字 、 电 话 号 码 或 身份 证 等 很 容易 想到 的 内 容 。 所 谓 字典 攻击 程序 就 是 
按 电子 字典 的 每 个 单词 来 验证 口令 。 一 旦 用 户口 令 泄露 ， 就 会 给 非法 进入 服务 器 打开 方便 
之 门 ， 这 种 非法 侵入 可 能 长 时 间 不 被 发 现 。 为 了 对 付 这 种 字典 攻击 ， 许 多 企业 在 口令 分 配 
软件 中 采取 字典 检查 措施 。 当 用 户 选择 一 个 新 口令 时 ， 口 令 分 配 软件 会 在 字典 里 查找 ， 如 
果 找 到 的 话 就 不 同意 用 户 使 用 这 个 口令 。 企 业 口令 分 配 软件 所 用 的 字典 内 有 常见 单词 、 姓 
名 (包括 宠物 名 )、 常 用 的 缩 略 语 、 对 用 户 有 特定 意义 的 单词 或 字符 /数字 ， 如 企业 会 禁止 
员工 以 员工 号 作为 口令 。 

9.4.2 ”对 数据 库 的 安全 威胁 


电子 商务 系统 以 数据 库存 储 用 户 数据 , 并 可 从 WWW 服务 器 所 连 的 数据 库 中 搜索 产品 
信息 。 数 据 库 除 了 存储 产品 信息 外 ， 还 可 能 保存 有 价值 的 信息 或 隐私 信息 ， 一 旦 被 更 改 或 
泄露 则 会 给 公司 带 来 无 法 弥补 的 损失 。 现 在 大 多 数 大 型 数据 库 都 使 用 基于 用 户 名 和 口令 的 
安全 措施 ， 一 旦 用 户 获 准 访问 数据 库 ， 就 可 查看 数据 库 中 的 相关 内 容 。 数 据 库 安 全 是 通过 
权限 实施 的 ， 而 有 些 数据 库 没有 以 安全 方式 存储 用 户 名 与 口令 ， 或 没有 对 数据 库 进行 安全 
保护 ， 仅 依赖 WWW 服务 器 的 安全 措施 。 如 果 有 人 得 到 用 户 的 认证 信息 ， 他 就 能 伪装 成 合 
法 的 数据 库 用户 来 下 载 保 密 的 信息 。 隐 藏 在 数据 库 系统 里 的 特洛伊 木马 程序 可 通过 将 数据 
权限 降级 来 泄露 信息 ， 甚 至 可 以 改变 数据 权限 ， 使 所 有 用 户 都 可 以 访问 这 些 信 息 ， 其 中 当 
然 包括 那些 潜在 的 侵入 者 。 


9.4.3 ”对 其 他 程序 的 安全 威胁 
另 一 个 对 WWW 服务 器 的 攻击 可 能 来 自 服务 器 上 所 运行 的 程序 。 通 过 客户 端 传输 给 


WWW 服务 器 或 直接 驻 留 在 服务 器 上 的 Java 或 C++ 程序 需要 经 常 使 用 缓存 缓存 是 指定 存 
放 从 文件 或 数据 库 中 读 取 数 据 的 单独 的 内 存 区 域 。 在 需要 处 理 输入 和 输出 操作 时 就 需要 组 


存 ， 因 为 计算 机 处 理 文件 信息 的 速度 比 从 输入 设备 上 读 取信 息 或 将 信息 写 到 输出 设备 上 的 
速度 快 得 多 ， 缓 存 就 用 做 数据 进出 的 临时 存放 区 。 把 即将 处 理 的 数据 库 信息 放 在 缓存 中 
等 所 有 信息 都 进入 计算 机 内 存 后 ， 处 理 器 操作 和 分 析 所 需 的 数据 就 准备 完毕 。 缓 存 的 问题 
在 于 向 缓存 发 送 数据 的 程序 可 能 会 出 错 ， 导 致 缓存 溢出 ， 即 溢出 的 数据 进入 到 指定 区 域 之 
外 。 通 常情 况 下 ， 这 是 由 程序 中 的 错误 引起 的 ， 但 有 时 这 种 错误 是 有 意 的 。1988 年 的 互联 
网 蠕虫 就 是 这 样 的 程序 ， 它 引起 的 溢出 会 消耗 掉 所 有 资源 ， 直 到 被 感染 的 计算 机 停机 。 

另 一 种 影响 力 更 大 的 溢出 攻击 就 是 将 指令 写 在 关键 的 内 存 位 置 上 ， 侵 入 程序 占有 并 完 
成 覆盖 缓存 内 容 后 ，WWW 服务 器 通过 载 入 记录 攻击 程序 地 址 的 内 部 寄存 器 来 恢复 执行 。 
这 会 使 WWW 服务 器 遭受 严重 破坏 ， 因 为 恢复 运行 的 程序 是 攻击 程序 ， 它 会 获得 很 高 的 超 
级 用 户 权 限 ， 让 每 个 程序 都 可 能 被 侵入 的 程序 泄密 或 破坏 ， 完 善 的 编程 可 以 降低 缓存 溢出 
带 来 的 问题 .有 些 计算 机 还 用 硬件 辅助 操作 系统 来 限制 恶意 破坏 的 缓存 溢出 所 导致 的 问题 。 

还 有 一 种 类 似 的 攻击 是 将 多 余 的 数据 发 给 一 个 服务 器 ， 一 般 是 邮件 服务 器 。 这 种 攻击 
叫做 邮件 炸弹 (Mail Bomb)， 即 数 以 千 计 的 人 将 同一 消息 发 给 一 个 电子 邮件 地 址 。 攻 击 可 
能 是 一 群 组 织 严 密 的 黑客 发 起 ， 也 可 能 只 是 一 个 黑客 用 特洛伊 木马 或 类 似 程序 控制 了 别人 
的 计算 机 ， 然 后 发 起 攻击 。 邮 件 炸 弹 的 目标 电子 邮件 地 址 会 收 到 大 量 的 邮件 ， 超 出 了 所 多 
许 的 邮件 区 域 限制 。 


9.4.4 对 WWW 服务 器 物理 安全 的 威胁 


WWW 服务 器 及 所 连 的 计算 机 (如 用 于 向 电子 商务 网 站 提供 内 容 和 交易 处 理 的 数据 库 
服务 器 和 应 用 服务 器 等 ) 必须 保护 ， 使 其 不 受 物理 破坏 。 很 多 公司 都 用 这 些 计算 机 存储 了 
重要 数据 ， 如 客户 、 产 品 、 销 售 、 采 购 、 结 算 等 信息 ， 它 们 已 成 为 公司 业务 的 重要 组 成 部 
分 。 作 为 关键 的 物理 资源 ， 这 些 计算 机 和 相关 设备 需要 严格 保护 不 受 物理 安全 的 威胁 。 

许多 公司 自己 有 服务 器 和 服务 器 维护 人 员 ， 有 的 大 公司 也 将 这 些 计算 机 托管 给 ISP。 
多 数 情况 下 ，ISP 对 这 些 物理 设施 的 维护 要 强 于 公司 在 自己 办 公 场 所 提供 的 安全 措施 。 

公司 可 以 采取 额外 措施 保护 自己 的 WWW 服务 器 。 许 多 公司 在 远程 维护 服务 器 内 容 的 
备份 。 如 果 WWW 服务 器 对 业务 非常 关键 ， 公 司 可 以 在 远程 备份 整个 WWW 服务 器 。 一 
旦 发 生 自然 灾害 或 者 恐怖 袭击 ， 网 站 的 运作 在 儿 秒 钟 之 内 就 可 切换 到 备份 服务 器 上 。 这 种 
要 保证 物理 安全 的 关键 业务 WWW 服务 器 例子 有 民航 订 票 系统 、 证券 经 纪 公 司 的 交易 系统 
和 银行 账户 清算 系统 等 。 

9.4.5 访问 控制 和 认证 


访问 控制 和 认证 是 指控 制 访问 商务 服务 器 的 人 及 其 所 访问 的 内 容 。 想 要 在 电子 商务 环 
境 下 访问 WWW 服务 器 ， 多 数 人 都 不 可 能 直接 使 用 这 人 台 服 务 器 的 键盘 ， 而 要 通过 客户 端 。 
前 面 讲 过 认证 就 是 验证 期 望 访 问 计算 机 的 人 的 身份 。 就 像 用 户 可 认证 其 所 交互 的 服务 器 一 
样 ， 服 务 器 也 能 够 认证 各 个 用 户 。 当 服务 器 要 求 识别 客户 端 和 其 用 户 时 ， 它 会 要 求 客户 端 
发 出 一 个 证 书 。 

服务 器 可 用 多 种 方式 对 用 户 进行 认证 。 首 先 ， 证 书 是 用 户 的 许可 证 。 如 果 服 务 器 使 用 
用 户 的 公开 密 钥 无 法 对 证 书 的 数字 签名 进行 解密 ， 就 知道 此 证 书 不 是 来 自 真正 的 所 有 者 ; 
反之 ， 服 务 器 就 可 确认 证 书 来 自 所 有 者 。 此 过 程 防止 了 为 进入 安全 服务 器 而 伪造 的 证 书 。 
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其 次 ， 服 务 器 检查 证 书 上 的 时 间 标 记 以 确认 证 书 未 过 期 ， 并 拒绝 为 过 期 证 书 提供 服务 。 最 
后 ， 服 务 器 可 使 用 回 叫 系统 ， 即 根据 用 户 名 和 为 其 制定 的 客户 端 地 址 清单 来 核对 用 户 名 和 
客户 端 地 址 。 这 种 方法 对 那些 客户 端 地 址 得 到 严格 控制 和 系统 管理 的 内 部 网 非常 有 用 。 而 
对 互联 网 进行 系统 管理 是 非常 困难 的 ， 因 为 用 户 可 能 在 不 同 的 地 点 上 网 。 不 过 无 论 如 何 ， 
可 信 的 认证 中 心 所 颁发 的 证 书 对 客户 端 及 其 用 户 进行 身份 确认 时 起 到 非常 关键 的 作用 。 证 
书 的 不 可 否认 特性 对 安全 问题 也 有 好 处 。 

用 户 名 和 口令 的 方法 也 提供 了 一 定 程度 的 保护 。 服 务 器 要 采用 用 户 名 与 口令 对 用 户 进 
行 认 证 的 话 ， 就 必须 维护 合法 用 户 的 用 户 名 与 口令 的 数据 库 。 许多 WWW 服务 器 系统 都 用 
文件 来 存储 用 户 名 和 口令 。 对 大 的 商务 网 站 来 说 ， 一 般 会 用 独立 的 数据 库 来 存储 用 户 名 和 
口令 ， 并 对 此 数据 库 严 加 保护 。 

最 常见 也 是 最 安全 的 存储 方法 是 以 明文 形式 保存 用 户 名 ， 而 用 加 密 方式 来 保存 口令 。 
在 明文 的 用 户 名 和 加 密 的 口令 方式 下 ， 当 用 户 登 录 时 ， 系 统 根据 数据 库 中 所 存储 的 用 户 名 
清单 来 检查 用 户 名 以 验证 用 户 的 合法 身份 。 登 录 系 统 时 用 户 所 输入 的 口令 已 进行 加 密 ， 系 
统 将 用 户口 令 的 加 密 结果 通过 数据 库 中 所 存储 的 加 密 口令 进行 比较 。 如 果 指 定 用 户 的 两 种 
加 密 口令 相互 匹配 ， 就 接受 登录 。 这 就 是 为 什么 在 大 多 数 系统 下 ， 即 使 用 户 忘 记 口 令 ， 系 
统管 理 员 也 无 法 找到 被 遗忘 的 口令 。 这 时 管理 员 会 给 用 户 一 个 临时 口令 ， 然 后 用 户 可 改 成 
自己 选 定 的 口令 。 


9.S ”电子 商务 安全 实例 


当 了 解数 据 加 解密 技术 及 身份 认证 技术 以 后 ， 下 面 将 体会 一 下 在 互联 网 上 诸如 网 络 银 
行 这 类 电子 商务 应 用 是 通过 什么 过 程 保证 数据 安全 的 。 在 图 9.7 中 ， 用 户 A 要 把 数据 安全 
地 传递 给 用 户 了 B。 整 个 过 程 既 需 要 实现 数据 的 保密 性 ， 又 要 求 对 发 送 方 的 身份 进行 认证 。 


用 户 A 和 用 户 B 首先 由 自己 或 通过 第 三 方 认证 机 构 生 成 一 个 密 钥 对 , 而 这 个 密 钥 对 又 被 称 
为 证 书 。 
a RSH 用 上 和风 这 
上 ey 字 伍 名 
4 | 信息 摘要 | 一 > 下。 | 数字 签名 用 的 和 钢 对 
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用 户 A 的 数字 证 书 | | 用 户 B 的 公 钥 对 二 
对 称 密 钥 加 密 用 户 A 的 数字 证 书 
-4B 的 数字 证 数字 信封 用 户 A 的 公 钥 
用 户 B 的 数字 证 书 ? 数字 签名 解密 数字 签名 信息 摘要 
用 户 A 用 户 B 


图 9.7 电子 商务 安全 实例 
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户 传 出 的 数据 初始 为 明文 的 形式 ， 接 着 该 明文 通过 Hash 函数 快速 地 生成 一 个 明文 
的 摘要 ，Hash 函数 的 单 向 型 使 得 任何 人 都 无 法 通过 摘要 反 向 推出 该 明文 。 然 后 系统 将 使 用 
用 户 A 的 私有 密码 对 摘要 进行 数字 签名 。 

当 数 字 签名 的 操作 结束 后 ， 发 送 方 将 要 传递 的 明文 、 数 字 签名 和 发 送 方 用 户 A 的 公 钥 
做 成 一 个 整体 ， 由 系统 随机 选择 某 个 对 称 加 密 算 法 进行 数据 的 加 密 ， 也 就 是 说 迅速 地 把 明 
文 转 成 了 密 文 。 这 里 有 两 点 要 说 明 : 第 一 , 用 户 A 的 公 钥 是 以 用 户 A 数字 证 书 的 形式 出 现 ; 
第 二 ， 在 绝 大 多 数 情况 下 ， 这 个 步骤 中 所 做 的 操作 对 一 般 的 用 户 是 透明 的 ， 不 需要 用 户 的 
参与 ， 由 系统 自动 选 定 算法 和 密 钥 。 

如 果 想 保证 上 述 的 加 密 操作 成 功 ， 关 键 就 是 要 保护 好 加 密 时 用 的 对 称 密 钥 。 可 以 使 用 
接收 方 用 户 B 的 公 钥 对 该 对 称 密 钥 再 进行 加 密 。 注意 : 用 户 B 的 公 钥 以 用 户 B 数字 证 书 的 
形式 出 现 。 这 样 通过 用 户 B 的 公 钥 完成 了 一 次 非 对 称 加 密 ， 最 终 形成 了 数字 信封 。 

将 密 文 放 入 数字 信封 后 利用 网 络 进行 通信 。 在 通信 过 程 中 如 果 网 络 攻击 者 对 该 数据 进 
行 监听 ， 并 且 监 听 到 了 之 后 想 破解 该 数据 的 内 容 就 必须 拆 开 该 数据 的 电子 信封 。 这 其 实 就 
等 于 与 强大 的 非 对 称 加 密 进行 对 抗 。 

接收 方 用 户 B 正确 收 到 该 数据 后 ,首先 要 做 的 事情 是 拆 开 信 封 。 因此 用 户 B 用 自己 的 
私 钥 对 数字 信封 进行 解密 并 还 原 对 称 密 钥 。 用 户 B 的 私 钥 保 存在 用 户 B 的 PC 上 ， 并 没有 
出 现在 网 络 通信 中 ， 由 此 可 以 看 到 非 对 称 密 钥 体 系 的 安全 性 是 比较 好 的 。 

使 用 对 称 密 钥 对 密 文 进行 解密 , 还 原 明 文 、 数 字 签 名 及 用 户 A 的 数字 证 书 。 到 此 为 止 ， 
用 户 B 可 以 看 到 用 户 A 传 过 来 的 明文 。 但 是 新 的 问题 是 用 户 B 能 否 信 任 这 个 明文 ， 这 个 
明文 在 传输 过 程 中 有 没有 错误 或 者 被 恶意 算 改 。 所 以 用 户 B 用 Hash 函数 生成 一 个 信息 摘 
要 ， 然 后 用 用 户 A 的 公 钥 对 数字 签名 进行 解密 。 若 整个 通信 的 环节 没有 出 现任 何 问题 ， 那 
么 解密 的 结果 就 是 用 户 A 发 出 数据 的 时 候 所 做 的 信息 摘要 。 如 果 这 两 个 摘要 完全 一 致 ， 那 
么 就 说 明 数据 通信 的 过 程 是 一 个 安全 的 过 程 。 


课 后 习题 


一 、 选 择 题 
1. 下 列 选 项 中 属于 非 对 称 密 钥 体制 特点 的 是 (  )。 
A. 算法 速度 快 B. 适合 大 量 数据 的 加 密 
C. 适合 密 钥 的 分 配 与 管理 D. 算法 的 效率 高 
2. 硬件 安全 是 指 保 护 计算 机 系统 硬件 的 安全 ， 保 证 其 自身 的 (  ”) 和 为 系统 提供 
基本 安全 机 制 。 
A. 安全 性 B. 可 靠 性 C. 实用 性 D. 方便 性 
3. 身份 认证 的 主要 目标 包括 确保 交易 者 是 交易 者 本 人 、 避 免 与 超过 权限 的 交易 者 进 
行 交易 和 (  )。 


A. 可 信 性 B. 访问 控制 C. 完整 性 D. 保密 性 
4. 网 络 交 易 的 信息 风险 主要 来 自 ( 
A. 冒名 偷窃 B. 算 改 数据 C. 信息 丢失 D. 虚假 信息 


5. SSL 产生 会 话 密 钥 的 方式 是 ( )。 
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电子 下 条 区 会 
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.从 密 钥 管 理 数据 库 中 请 求 获得 
每 一 台 客户 端 分 配 一 个 密 钥 
随机 由 客户 端 产生 并 加 密 后 通知 服务 器 
.由 服务 器 产生 并 分 配给 客户 端 
) 属于 Web 中 使 用 的 安全 协议 。 
.PEM、SSL B. S-HTTP、 SMIME 
. SSL、S-HTTP D. S/MIME、 SSL 
7. 传输 层 保护 的 网 络 采用 的 主要 技术 是 建立 在 ) 基础 上 的 ( 5 
A. 可 靠 的 传输 服务 ，SSL 协议 
B. 不 可 靠 的 传输 服务 ，S-HTTP 协议 
C. 可 靠 的 传输 服务 ， S-HTTP 协议 
D. 不 可 靠 的 传输 服务 ，SSL 协议 
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二 、 填 空 题 

1. 电子 商务 安全 可 分 为 5 和 三 个 方面 

2. Cookie 文本 文件 的 主要 作用 是 

3. 客户 端 受到 来 自  、、 、、 、 、 ，  、 、 、 ，  、_、 
和 等 多 方面 的 安全 威胁 。 

4. 数字 证 书 可 用 于 和 多 种 在 线 交 易 。 发 行 数 字 证 书 的 
机 构 是 。 在 国内 客户 最 多 的 认证 中 心 是 和 

5. 网 络 攻击 者 利用 安全 漏洞 针对 电子 商务 进行 、 和 等 非 
法 操作 。 

6. 网 络 攻击 者 利用 探测 程序 (Sniffer) 可 以 实现 的 目标 。 

7. SSL 由 公司 提出 ， S-HTTP 是 协会 指定 ， 这 是 用 进行 
安全 信息 传输 的 两 个 协议 。SSL 和 S-HTTP 支持 客户 端 和 服务 器 对 彼此 在 安全 WWW 会 话 
过 程 中 的 活动 的 管理 。 

、 简 答题 


1. 数字 证 书包 括 的 主要 内 容 有 哪些 ? 

2. 简 述 利用 电子 伪装 攻击 电子 商务 网 站 的 实施 过 程 。 

3. 简 述 商家 和 消费 者 之 间 进 行 数 据 传输 时 进行 信息 摘要 的 过 程 。 
4. 网 络 攻 击 者 给 电子 商务 带 来 的 安全 隐患 和 安全 问题 有 哪些 ? 


第 10 章 。 校园 网 网 络 安全 解决 方案 设计 


校园 网 作为 学 校 网 络 化 建设 不 可 缺少 的 支撑 平台 ， 承 担 着 学 校 教学 、 管 理 、 科 研 及 软 
件 资源 库 、 应 用 服务 群 、 一 卡通 等 应 用 的 环境 支持 ， 也 是 学 校内 外 资源 共享 、 交 流 访 问 的 
重要 方式 。 作 为 学 校 数 字 信 息 传输 最 重要 的 载体 ， 校 园 网 的 安全 自然 就 面 对 着 各 种 威胁 ， 
主要 威胁 有 网 络 设备 的 破坏 及 网 络 中 传输 的 数据 信息 的 危害 。 前 者 主要 是 破坏 设备 的 软件 
系统 、 干 扰 运行 ， 后 者 则 是 越权 非法 访问 、 假 冒 合 法 用 户 、 木 马 与 病毒 、 窃 听 数 据 等 。 除 
此 之 外 ， 对 校园 网 的 另外 一 个 威胁 体现 在 无 法 对 网 络 数据 进行 自主 识别 与 过 滤 ， 如 电信 网 
络 上 面 有 大 量 的 资源 ， 这 些 资源 鱼龙混杂 、 良 劳 不 齐 ， 我 们 却 无 法 进行 有 针对 性 的 处 理 ， 
以 至 占用 大 量 网 络 带 宽 ， 造 成 数据 堵塞 ， 严 重 影 响 用 户 体 验 。 同 时 由 于 目前 我 国 的 网 络 管 
理 制度 还 有 竺 完善 ， 网 站 上 充斥 着 众多 严重 影响 学 生 身 体 健康 、 心 理 成 长 的 内 容 ， 诸 如 暴 
力 、 反 动 、 色 情 之 类 ， 导 致 非常 恶劣 的 后 果 。 

校园 网 在 学 校 的 数字 化 、 信 息 化、 自动 化 中 发 挥 着 越 来 越 重要 的 作用 ， 直 接 影 响 到 学 
校 管理 水 平 的 提高 与 教学 质量 提升 ， 同 时 也 是 学 校 之 间 实 力 竞争 的 一 个 关键 点 。 但 是 ， 由 
于 意识 与 资金 方面 的 原因 ,许多 学 校 常常 只 是 在 内 部 网 与 互联 网 之 间 放 一 个 防火 墙 就 了 事 ， 
直接 面 对 互 联网 ， 随 着 校园 网 规模 日 趋 扩 大 、 应 用 环境 日 趋 复杂 ， 从 而 成 为 病毒 、 木 马 及 
黑客 的 目标 ， 导 致 校园 网 内 木马 病毒 泛滥 、 黑 客 入 侵 攻击 时 有 发 生 、 信 息 被 算 改 、 服 务 遇 
拒绝 等 均 呈 现 增多 趋势 。 可 见 ， 针 对 各 种 安全 事故 ， 采 取 行 之 有 效 的 措施 去 应 对 是 十 分 必 
要 的 。 针 对 网 络 安全 进行 主动 防范 ， 从 而 确保 校园 网 安全 、 稳 定 、 高 效 、 可 靠 运转 是 每 个 
学 校 迫切 需要 重视 的 问题 。 

本 章 首先 拿 目 前 流行 的 各 种 安全 防护 技术 ， 结 合 学 校 的 实际 ， 提 出 学 校 的 目标 ， 构 建 
一 个 安全 、 可 靠 、 高 效 、 稳 定 的 校园 网 。 在 此 基础 上 ， 应 用 多 种 安全 技术 ， 构 建 学 校 网 络 
安全 防御 体系 ， 为 学 院 信息 化 、 办 公 自 动 化 、 数 字 资 源 化 提供 坚实 的 硬件 平台 。 在 具体 实 
现 中 ， 应 用 了 ACL、VLAN、VRRP 技术 ，IDS 与 防火 墙 联动 ， 出 口 策略 路 由 技术 ， 以 及 
DES 技术 在 身份 认证 中 的 具体 应 用 ， 实 现 一 个 “可 看 、 可 管 、 可 控 ” 的 安全 网 络 。 


10.1 校园 网 现状 分 析 


先 虚 构 一 所 学 校 名 为 英才 大 学 ， 针 对 这 所 学 校 来 进行 分 析 。 当 前 学 校 有 两 个 校区 ， 一 
个 在 大 学 东 路 ， 占 地 近 千 亩 ， 建 设 有 和 获 盖 全 院 所 有 区 域 的 校园 网 ， 多 媒体 教室 121 间 ， 计 
算 机 机 房 34 间 ， 教 学 计算 机 1500 多 台 ， 教 职工 1200 人 ， 在 校 学 生 达 8000 人 。 目 前 校园 
网 注册 用 户 为 9000 人 ， 其 中 活跃 的 在 线 用 户 达 4000 多 人 ， 大 二 以 上 的 学 生 基 本 上 人 手 一 
台 计 算 机 。 另 外 一 个 校区 在 大 学 西 路 ， 占 地 800 多 亩 ， 目 前 已 经 完成 土地 平整 ， 实 现 三 通 
一 平 ， 正 在 建设 ， 很 快 就 可 以 投入 使 用 。 


风疹 人 委 会 与 合理 ( 谎 二 把 ) 


目前 ， 学 校 已 经 建成 自己 的 Web 主页 、 内 部 使 用 的 FTP 服务 器 、DNS 服务 器 等 基础 
应 用 服务 。 另 外 还 开发 了 科研 管理 系统 、 学 生 评 优 评 先 系统 、 成 绩 管理 系统 、 学 生 评 教 选 
课 系 统 等 一 系列 实用 的 应 用 服务 。 有 为 了 师 生 教 学 与 学 习 的 方便 , 还 开发 了 精品 课程 系统 ， 
图 书 管理 系统 等 电子 资源 。 学 校 和 其 他 高 校 类 似 ， 也 是 采用 多 出 口 互联 ， 分 别 为 CERNET 
和 CHINANET 两 种 方式 接 入 ， 其 中 一 条 为 50M 的 电信 链 路 ， 另 一 条 为 100M 的 教科 网 
链 路 。 


10.1.1 校园 网 网 络 安全 现状 分 析 


于 计算 机 网 络 自身 开放 性 、 共 享 性 和 互联 性 的 特点 ， 当 学 院 的 网 络 接 入 互联 网 以 后 ， 
自然 而 然 会 遇 到 来 自 互 联网 上 的 各 种 攻击 与 威胁 。 具 体 体现 为 病毒 泛滥 、 数 据 破坏 、 入 侵 
攻击 ， 以 及 信息 的 算 改 、 恶 意 软件 对 网 络 性 能 的 影响 等 ， 这 些 事件 时 常 发 生 ， 严 重 影响 师 
生 的 日 常 使 用 ， 有 时 网 络 甚至 出 现 瘫痪 。 这 些 威胁 活跃 在 校园 网 内 部 ， 如 漏洞 入 侵 、 拒 绝 
服务 攻击 、 假 冒 合法 用 户 、 密 码 破 解 和 恶意 木马 等 形形色色 的 威胁 。 

现在 学 院 开 发 了 大 量 的 软件 资源 ， 如 精品 课程 系统 、 学 生 评 优 评 先 系统 、 学 生 评 教 系 
统 、 成 绩 管理 系统 等 ， 这 些 网 络 业务 全 部 集成 到 协同 办 公平 台 上 ， 统 一 认证 ， 这 样 给 师 生 
带 来 极 大 方便 的 同时 ， 也 带 来 了 不 少 的 安全 问题 ， 如 访问 控制 设置 不 严谨 ， 密 码 口令 不 安 
全 ， 很 多 师 生 还 是 用 默认 密码 ， 系 统 补丁 不 及 时 更 新 、 对 各 种 攻击 缺乏 应 对 手段 等 ， 这 些 
构成 了 办 公平 台 的 安全 薄弱 环节 ， 是 网 络 整体 安全 的 短 板 。 

通过 对 学 院 网 络 现状 的 分 析 ， 可 将 当前 校园 网 的 安全 问题 归纳 如 下 。 

1. 校园 网 内 的 安全 问题 

随 着 学 校 招 生 规模 的 不 断 扩 大 ， 当 前 学 校 师 生 员工 已 经 超过 了 9200 人 。 其 中 据 不 完全 统 
计 ， 目 前 师 生 开户 用 户 已 达 9000 人 ， 高 峰 期 活跃 在 线 用 户 达 4000 人 人。 用户 分 散在 各 个 区 
域 ， 大 大 增加 了 管理 与 日 常 维护 的 工作 量 。 学 校 目前 建设 开发 有 大 量 的 校园 网 资源 ， 包 括 
FTP、Web 服务 器 、 学 生 选 课 评 教 系统 、 学 生成 绩 管 理 系统 、 精 品 课程 资源 库 、 学 生 评 奖 
评 优 信息 系统 等 ， 这 些 资源 在 校 学 生 用 户 经 常 需要 使 用 。 由 于 学 生计 算 机 安全 性 不 高 ， 存 
在 各 种 漏洞 ， 当 他 们 上 网 下 载 资料 、 玩 游戏 、 看 电影 时 很 容易 感染 病毒 。 当 他 们 中 毒 后 ， 
很 容易 充当 攻击 源 , 对 校园 网 的 各 种 服务 器 进行 攻击 , 而 这 些 服务 器 很 多 都 没有 防护 手段 ， 
因此 很 容易 就 引起 病毒 肆虐 、 信 息 破 坏 、 系 统 自 改 、 网 络 骨 溃 等 后 果 ， 从 而 影响 校园 网 
安全 。 

2. 校园 网 内 的 威胁 

在 学 院内 部 的 学 生 对 学 院 的 网 络 拓扑 结构 、 应 用 模式 、 软 件 资料 等 都 非常 了 解 ， 而 理 
工科 学 生 ， 特 别 是 电子 信息 工程 系 、 软 件 、 计 算 机 、 网 络 技术 专业 的 学 生 ， 他 们 对 新 知识 
充满 求知 欲 ， 特 别 是 学 习 完 网 络 安全 课程 后 ， 总 是 想 尝试 使 用 各 种 攻击 工具 来 实践 ， 而 他 
们 的 目标 首先 选择 的 就 是 校园 网 。 尽 管 他 们 都 是 有 意 或 者 无 意 的 ， 但 是 却 经 常 干扰 了 校园 
网 的 正常 运行 。 因 此 ， 如 何 防范 校园 网 的 黑客 攻击 是 我 们 必须 面 对 的 问题 。 

3. 校园 网 外 的 威胁 
当前 高 校 ， 为 了 享受 计算 机 网 络 带 来 的 便利 与 资源 共享 ， 无 一 不 接 入 互联 网 ， 我 们 在 
体验 互联 网 便捷 高 效 的 同时 ， 也 直接 面 对 着 种 种 来 自 校园 网 外 的 安全 威胁 。 首 先 ， 大 量 的 
计算 机 病毒 都 是 利用 互联 网 传播 ， 大 量 病毒 在 网 络 上 泛滥 ， 必 然 会 引起 网 络 性 能 的 下 降 ; 


其 次 ， 在 互联 网 上 活跃 着 大 量 的 黑客 ， 他 们 经 常 想 方 设法 入 侵 校园 网 的 服务 器 ， 以 获取 各 
种 有 用 的 信息 。 

4. 校园 网 内 盗版 软件 泛滥 

在 学 校 根 据 调查 可 以 发 现 ， 绝 大 部 分 学 生 使 用 的 软件 都 是 直接 从 网 络 上 下 载 破解 版 ， 
或 者 直接 购买 盗版 软件 ， 这 些 软件 表面 上 看 可 以 正常 使 用 ， 但 是 大 部 分 都 不 能 升级 ， 存 在 
漏洞 补丁 无 法 修补 ， 同 时 很 多 软件 开发 者 在 里 面 隐藏 着 后 门 程序 、 木 马 程序 、 恶 意 程序 等 ， 
给 校园 网 带 来 极 大 的 安全 隐患 。 同 时 在 校园 网 建设 中 ， 多 数学 校 只 重视 硬件 的 投入 而 忽略 
了 软件 的 建设 ， 许 多 服务 器 安装 的 网 络 操作 系统 均 是 盗版 的 ， 其 中 含有 大 量 的 安全 漏洞 ， 
这 给 黑客 的 入 侵 与 攻击 带 来 了 便利 。 


10.1.2 校园 网 威胁 成 因 分 析 


由 于 校园 网 存在 种 种 威胁 , 因此 自然 而 然 就 出 现 各 种 上 述 的 现象 , 通过 对 其 原因 分 析 ， 
可 得 出 主要 是 由 以 下 原因 造成 的 : 

1. 缺乏 身份 认证 机 制 

现在 一 般 大 型 的 企 事 业 单 位 都 部 署 有 相应 的 身份 认证 设备 ， 对 用 户 进行 认证 ， 从 而 实 
现 内 部 网 络 可 控 可 管 。 学 校注 册 校园 网 用 户 达 9000 人 , 经 常 在 线 的 师 生 员工 也 达 4000 人 ， 
但 缺乏 用 户 认证 的 机 制 ， 很 多 外 来 用 户 只 要 简单 配置 ， 在 学 校 就 能 直接 上 网 ， 很 多 用 户 通 
过 更 改 端 口 地 址 就 能 入 网 ， 因 此 安全 性 很 低 ， 对 用 户 管理 难度 很 大 。 同 时 由 于 很 多 用 户 都 
是 直接 使 用 学 号 和 默认 密码 ， 因 此 密码 被 盗 后 ， 账 号 就 直接 被 盗用 了 。 再 次 出 现 问题 时 ， 
无 法 进行 审计 ， 不 能 直接 定位 到 个 人 。 另 外 ， 由 于 上 述 各 种 问题 的 存在 ， 从 而 影响 校园 网 
的 收费 与 运营 。 

2. 终端 安全 难保 障 

学 院 的 校园 网 是 由 师 生 员工 的 计算 机 作为 节点 构成 ， 因 此 这 部 分 终端 安全 性 直接 影响 
到 校园 网 的 整体 安全 。 但 目前 的 现实 是 ， 很 多 师 生 的 计算 机 系统 存在 漏洞 ，Windows 漏洞 
补丁 从 来 都 不 及 时 更 新 ;很 多 用 户 没 有 安装 正版 杀毒 软件 、 防 火 墙 等 安全 软件 ， 或 是 虽然 
安装 了 , 但 不 能 自动 更 新 ， 有 些 用 户 甚 至 从 来 不 更 新 ， 这 些 安 全 软件 失去 了 安全 防御 功能 ， 
无 法 对 病毒 查 杀 与 数据 包 过 滤 ， 还 有 部 分 终端 用 户 不 正确 使 用 校园 网 ， 经 常 下 载 、 使 用 各 
种 非法 软件 ， 从 事 一 些 破坏 校园 网 的 活动 。 可 见 ， 接 入 的 终端 不 安全 会 引起 整个 校园 网 攻 
击 和 病毒 泛滥 ， 影 响 正常 的 使 用 。 

3. 缺乏 安全 控制 手段 
当前 互联 网 上 虽然 黑客 很 多 ， 病 毒 也 泛滥 ， 但 是 由 于 大 部 分 的 学 校 均 部 署 了 防火 墙 ， 
要 实现 成 功 入 侵 和 攻击 不 是 易 事 。 据 统计 ，80% 成 功 的 攻击 行为 都 是 出 自 局 域 网 内 部 ， 所 
以 在 校园 网 内 部 如 何 防范 攻击 行为 是 校园 网 整体 安全 的 重点 。 目 前 ， 在 学 院 校园 网 中 ， 由 
于 没有 相应 的 安全 技术 ， 防 御 能 力 极 差 ， 病 毒 攻 击 、 木 马 泛滥 ， 校园 网 内 合法 的 用 户 做 出 
越权 的 、 非 法 的 事情 无 法 监管 ， 危害 很 大 ; 攻击 行为 时 常 发 生 , 但 用 常规 手段 却 难以 发 现 ， 
更 谈 不 上 阻 断 ， 发 生 的 时 候 定位 、 追 踪 不 到 攻击 源 ， 不 能 进行 及 时 、 有 效 的 处 理 。 


10.1.3 校园 网 安全 需求 
校园 网 安全 一 定 是 全 方位 的 安全 。 首 先 ， 网 络 出 口 、 数 据 中 心 、 服 务 器 等 重点 区 域 要 
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做 到 安全 过 滤 ， 其次， 不 管 接 入 设备 还 是 骨干 设备 ， 设 备 本 身 需 要 具备 强大 的 安全 防护 能 
力 ， 并 且 安 全 策略 部 署 不 能 影响 到 网 络 的 性 能 ， 不 造成 网 络 单 点 故障 ;最 后 ， 要 充分 考虑 
全 局 统一 的 安全 部 署 ， 需 要 能 够 从 接 入 控制 、 对 网 络 安全 事件 进行 深度 探测 、 现 有 安全 设 
备 有 机 的 联动 、 对 安全 事件 触发 源 的 准确 定位 和 根据 身份 进行 的 隔离 、 修 复 措施 ， 从 而 能 
对 网 络 形成 一 个 由 内 至 外 的 整体 安全 构架 。 所 以 ， 在 对 出 口 等 重点 区 域 进行 安全 部 署 的 同 
时 ， 要 更 加 全 面 的 考虑 安全 问题 ， 让 整个 网 络 从 设备 级 的 安全 上 升 一 个 台阶 ， 摆 脱 仅 仅 局 
部 加 强 某 个 单 点 的 多 种 安全 强度 的 手段 。 

根据 前 面 介 绍 的 校园 网 安全 需求 和 现状 ， 校 园 网 建设 在 安全 方面 要 满足 以 下 几 点 
需求 : 

(1) 核心 网 络 升级 为 双核 心 架 构 ， 汇 聚 层 均 以 双 链 路 与 核心 交换 链接 ， 实 现 骨 干 网 的 
元 余 和 负载 均衡 。 

(2) 替换 老 旧 交换 机 和 部 分 接 入 层 非 网 管 交 换 机 。 

(3) 校园 网 出 口 增加 高 性 能 路 由 器 。 

(4) 加 强 网 络 边界 安全 ， 增 加 入 侵 防 御 系 统 等 安全 防御 措施 。 

(5) 校园 网 禁止 外 部 非 校园 网 用 户 未 经 许可 访问 内 部 的 数据 ， 实 现 内 部 网 和 重要 服务 
器 数据 的 安全 防护 。 

(6) 使 用 接 入 认证 技术 和 准 入 控制 技术 ， 禁 止 非法 用 户 和 不 安全 客户 端 访 问 网 络 。 

(7) 对 于 各 个 VLAN 的 网 络 访问 进行 控制 ， 各 VLAN 之 间 在 未 经 授权 的 情况 下 不 能 
相互 访问 ， 实 现 网 络 的 隔离 。 

(8) 加 强 网 络 监控 ， 对 用 户 的 上 网 行为 进行 管理 ， 实 现 对 涉及 重要 服务 器 数据 的 攻击 
行为 的 记录 与 分 析 。 

(9) 加 强 网 络 病毒 的 防范 。 

(10) 采用 网 络 备份 与 恢复 系统 ， 实 现 数据 库 的 安全 存储 及 灾难 恢复 。 

(11) 加 强 安全 管理 ， 对 内 部 网 络 访问 行为 进行 规范 化 ,制定 完善 的 安全 管理 制度 ， 并 
通过 培训 讲座 等 手段 来 增强 教 职 工 和 学 生 的 安全 防范 技术 及 防范 意识 。 


10.2 ”校园 网 网 络 安全 方案 设计 


10.2.1 校园 网 网 络 安全 方案 设计 的 原则 


网 络 安全 是 整体 的 、 动 态 的 ， 网 络 安全 方案 应 能 覆盖 校园 网 运行 的 各 个 环节 。 在 校园 
网 络 安全 系统 方案 设计 中 ， 要 充分 考虑 学 校 校园 网 的 运行 和 管理 现状 ， 综 合 校园 网 方案 可 
行 性 、 可 管 性 、 可 控 性 、 可 扩展 性 等 因素 。 总 体 上 ， 网 络 安 全 方案 应 遵守 以 下 主要 原则 : 

1. 风险 与 需求 间 的 代价 均衡 

对 于 任何 网 络 ， 要 想 达 到 绝对 的 安全 是 不 可 能 实现 的 ， 也 是 没有 必要 的 。 对 于 一 个 网 
络 而 言 ， 首 先 应 该 对 其 承担 任务 、 网 络 性 能 需求 、 网 络 结构 、 网 络 的 可 靠 性 、 可 维护 性 、 
可 扩展 性 等 因素 进行 实际 分 析 ， 对 网 络 有 一 个 基本 的 总 体 认识 。 其 次 ， 要 对 网 络 可 以 面临 
的 威胁 、 能 够 承担 的 风险 进行 了 解 ， 在 不 影响 整个 校园 网 性 能 的 前 提 下 ， 人 允许 出 现 一 些 风 
险 与 威胁 ， 制 定 相应 的 系统 安全 策略 ， 确 保 网 络 安全 。 


2. 方案 的 全 面 性 、 综 合 性 

制定 校园 网 安全 方案 时 ， 应 充分 运用 系统 工程 的 理念 、 手 段 ， 对 可 能 存在 问题 的 地 方 
进行 分 析 、 研 究 ， 从 而 得 出 行 之 有 效 的 解决 办 法 。 主 要 的 应 用 办 法 有 以 下 三 种 : 通过 完善 
管理 制度 实现 ， 加 强 专业 技术 应 对 措施 的 完整 性 ， 齐 备 各 种 法 律 法 规 。 一 个 出 色 的 网 络 安 
全 设计 方案 往往 是 对 各 种 安全 技术 、 安 全 手段 全 面 地 、 综 合 地 融合 、 应 用 。 在 计算 机 网 络 
中 ， 有 用户、 数据 、 设 备 等 在 网 络 安全 中 处 于 不 同 的 地 位 ， 应 该 从 系统 整体 安全 的 立场 出 发 
去 分 析 ， 才 能 制定 出 行 之 有 效 的 、 合 理 的 网 络 安全 体系 结构 。 

3. 方案 的 一 致 性 

一 致 性 是 指 设计 的 安全 方案 应 该 与 网 络 安全 需求 结合 ， 力 求 两 者 能 同步 一 致 。 例 如 ， 
设计 方案 所 针对 的 网 络 安全 问题 思考 时 ， 应 结合 整个 网 络 的 生命 周期 考虑 ; 安全 内 容 、 安 
全 措施 应 该 在 方案 设计 实施 、 测 试验 收 、 运 行 维护 等 地 方 都 要 有 所 体现 。 总 之 ， 结 合 网 络 
安全 需求 , 与 安全 问题 保持 一 致 性 去 思考 网 络 安全 设计 的 方案 , 与 网 络 建设 好 后 再 去 思考 、 
建设 ， 会 容易 很 多 ， 投 入 也 减少 很 多 。 

4. 方案 的 兼容 性 与 灵活 性 

方案 的 制定 中 应 该 具有 兼容 性 与 灵活 性 。 随 着 网 络 性 能 和 安全 需求 的 改变 而 进行 相应 
调整 ， 设 备 能 做 到 兼容 ， 迅 速 适应 ， 改 动容 易 ， 而 且 升级 方便 。 

S.， 易 操作 性 

安全 防范 策略 一 般 都 是 由 人 设置 ， 简 单 、 易 操作 、 方 便 执 行 的 策略 会 给 网 络 管理 人 员 
带 来 极 大 的 便利 。 但 假设 安全 策略 太 复杂 ， 人 往往 给 设置 、 操 作 带 来 不 便 。 如 果 网 络 管理 人 
员 对 策略 了 解 不 深 ， 专 业 水 平 有 限 ， 就 容易 设置 出 错 ， 反 而 引起 网 络 安全 性 的 下 降 。 此 外 ， 
一 切 安全 策略 的 使 用 均 需 要 牺牲 主机 性 能 为 代价 , 所 以 措施 采用 不 是 越 多 越 好 , 而 是 够 用 、 
易 操 作 ， 不 影响 系统 的 正常 使 用 。 

6. 多 重 防护 

高 校 校园 网 络 庞大 ， 指 望 采用 一 两 种 安全 措施 就 能 实现 整体 的 、 全 局 的 安全 是 不 可 能 
的 ， 因 为 安全 是 相对 的 ， 没 有 绝对 的 安全 技术 与 防护 措施 ， 无 论 哪 种 安全 技术 或 者 防护 措 
施 都 可 能 失效 ， 从 而 影响 校园 网 的 稳定 与 安全 。 因 此 ， 应 当 综合 多 种 安全 技术 手段 ， 建 立 
立体 的 多 重 防护 的 系统 ， 这 样 各 层 间 可 以 互相 补充 ， 当 某 层 失效 时 ， 剩 下 的 还 可 以 保护 网 
络 信息 的 安全 。 

7. 可 升级 、 可 发 展 

当前 网 络 时 刻 都 会 变化 , 面 对 不 断 发 展 的 形势 , 制定 的 校园 网 应 该 能 够 根据 安全 趋势 ， 
有 针对 性 地 制定 、 调 整 安全 策略 ， 同 步 跟 进 ， 以 便 能 不 断 满足 校园 网 的 新 情况 、 新 需求 。 
所 以 在 方案 设计 中 ， 可 升级 、 可 发 展 是 必须 考虑 的 原则 。 
8. 统一 规划 ， 分 步 实现 
于 方案 设计 时 要 受到 政策 规定 、 服 务 需 求 等 不 明朗 因素 影响 ， 同 时 随 着 时 间 、 环 境 
的 变化 ， 攻 击 手段 也 在 不 断 进步 ， 网 络 的 真实 需求 也 在 同步 的 不 断 变化 ， 一 步 到 位 就 建设 
好 校园 网 显然 是 不 现实 的 。 所 以 正确 的 思路 是 统一 规划 、 分 步 实 现 。 首 先 在 学 校 里 建立 最 
基础 的 安全 体系 ， 满 足 当 前 校园 网 用 户 ， 建 立 学 校 安全 防御 基本 架构 。 另 外 ， 面 对 用 户 需 
求 的 多 样 化 、 网 络 规模 的 复杂 化 、 攻 击 手段 的 多 样 化 ， 需 要 在 原 有 的 校园 网 络 上 不 断 地 升 
级 、 调 整 或 者 增强 网 络 安全 的 手段 及 措施 ， 从 而 确保 网 络 安全 。 
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10.2.2 ”安全 设计 遵循 的 标准 


校园 网 络 安 全 设计 方案 遵循 的 部 分 标准 和 法 规 : 

(1) 国家 标准 : GB 17859 一 1999《 计 算 机 信息 系统 安全 保护 等 级 划分 准则 》。 

(2) 公安 部 令 第 82 号 : 《互联 网 安全 保护 技术 措施 规定 》。 

(3) 国家 标准 : GB/T 20279 一 2006《 信 息 安全 技术 网 络 和 终端 设备 隔离 部 件 安 全 技术 
要 求 》。 

(4) 国家 保密 局 文件 : 《计算 机 信息 系统 保密 管理 暂行 规定 》( 国 保 发 [1998]1 号 )。 

(5) 国务 院 147 号 令 :《 中 华人 民 共 和 国 计 算 机 信息 系统 安全 保护 条 例 》。 

(6) 国家 标准 : GB 9361 一 1988《 计 算 机 场地 安全 要 求 》。 


10.2.3 各 层次 的 校园 网 络 安 全 防范 系统 设计 


校园 网 络 系统 是 一 个 分 层次 的 拓扑 结构 ， 因 此 校园 网 络 的 安全 防护 也 需要 采用 分 层次 
的 综合 防护 措施 , 即 一 个 完整 的 校园 网 络 安 全 解决 方案 应 该 全 面 获 盖 校园 网 络 的 各 个 层次 ， 
并 且 与 安全 管理 制度 及 标准 操作 流程 相 结合 。 根 据 网 络 的 应 用 现状 和 结构 ， 下 面 分 别 从 物 
理 层 安 全 、 网 络 层 安全 、 应 用 层 安全 、 系 统 层 安全 和 安全 管理 5 个 层次 提出 网 络 安全 设计 
方案 。 

1. 物理 层 安全 设计 

物理 安全 的 主要 目的 是 为 了 对 网 络 中 的 计算 机 、 服 务 器 、 网 络 连 接 设备 等 进行 保护 ， 
使 其 不 会 因 自然 灾害 、 人 为 因素 等 受到 损害 ， 并 且 对 线路 的 电磁 辐射 进行 控制 ， 防 止 各 种 
偷窃 与 破坏 活动 的 发 生 。 保 证 校园 网 络 系统 中 各 种 设备 、 线 缆 的 物理 安全 是 实现 系统 安全 
控制 的 基本 前 提 。 

物理 安全 包括 通信 线路 的 安全 《防盗 、 抗 干扰 、 防 止 电磁 泄漏 等 )、 物 理 设备 的 安全 
防盗 、 防 毁 、 防 电磁 信息 辐射 泄漏 、 抗 电磁 干扰 等 )、 机 房 环 境 的 安全 〈 温 度 、 湿 度 、 烟 
尘 、 防 水 、 防 雷 等 )。 在 校园 网 安全 体系 构建 时 ， 要 将 服务 器 、 路 由 器 、 交 换 机 等 核心 设备 
EF 行 集中 放置 与 管理 ， 并 由 专人 负责 看 守 ， 各 种 连接 线路 与 设备 应 做 好 防护 处 理工 作 。 对 
于 网 络 线路 中 电磁 辐射 的 控制 是 一 项 重要 的 内 容 ， 主 要 采用 两 种 方式 : 一 种 是 防护 传导 的 
发 射 源 ， 选 取 性 能 优良 的 滤波 器 ， 尽 可 能 减 小 传输 的 阻抗 ， 另 一 种 是 采用 电磁 屏蔽 手段 ， 
如 选用 有 人 金属 屏蔽 层 的 网 络 连 接线 等 ， 减 少 线路 在 传输 时 散发 的 辐射 ， 必 要 时 在 保密 部 位 
利用 干扰 装置 产生 的 伪 噪 声 来 淹没 计算 机 系统 在 工作 时 的 频率 和 信息 特征 。 

针对 校园 网 物理 层 存 在 的 各 种 安全 隐患 ， 改 善 校园 网 的 物理 环境 ， 主 要 需要 做 如 下 几 
项 工作 : 

(1) 保障 和 完善 主机 房 电源 供应 。 

(2) 完善 温度 〈 恒 温 )、 防 尘 控制 ， 增 加 湿度 〈 恒 湿 ) 控制 。 

(3) 增设 校园 网 主机 房 门 禁 、 监 控 系 统 。 

(4) 完善 防 雷 和 防 静电 措施 。 

(5) 与 保卫 等 相关 部 门 合 作 ， 保 障 通信 线路 的 安全 。 

2. 网 络 层 安全 设计 

网 络 层 的 安全 问题 主要 包括 网 络 层 身 份 认证 、 网 络 资源 的 访问 控制 、 数 据 传 输 的 保密 
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性 和 完整 性 、 远 程 接 入 (VPN) 的 安全 、 域 名 系统 的 安全 、 全 网 主干 路 由 的 安全 、 入 侵 检 
测 /保护 的 手段 、 病 毒 防护 等 。 其 目的 是 限制 非法 用 户 通过 网 络 远程 访问 和 破坏 系统 数据 ， 
窃取 传输 线路 中 的 数据 ， 确 保 对 网 络 设备 的 安全 配置 。 

网 络 层 主要 的 安全 措施 包括 利用 防火 墙 进行 边界 隔离 与 访问 控制 、 利 用 入 侵 检 测 ， 
在 防火 墙 边 界 隔离 的 基础 上 进一步 对 数据 进行 全 面 的 检测 与 分 析 ， 从 而 发 觉 潜在 的 攻击 
行为 。 

利用 VPN 设备 实现 数据 的 加 密 传输 ， 并 确保 信息 传输 的 机 密 性 、 完 整 性 ， 利 用 防范 
DDOS 攻击 设备 防范 DDOS 攻击 。 

在 校园 网 的 安全 体系 中 ， 对 于 校园 网 内 部 不 同 局 域 网 之 间 的 隔离 与 控制 是 采用 VLAN 
技术 ， 通 过 对 网 络 中 交换 机 的 设置 ， 将 整个 校园 网 划分 成 几 个 不 同 的 区 域 ， 实 现 不 同 网 段 
之 间 的 物理 隔离 ， 从 而 有 效 地 防止 一 个 网 段 中 的 攻击 行为 渗透 到 另 一 个 网 段 中 去 。 在 校园 
网 的 服务 器 区 域 必 须要 建立 入 侵 保护 系统 ， 而 在 学 校 的 办 公 网 区 域 应 加 强 杀毒 软件 的 更 新 
与 升级 ， 在 宿舍 中 建立 上 网 行为 监控 。 为 了 保证 校园 网 中 用 户 端的 接 入 安全 ， 通 过 访问 控 
制 列 表 对 所 有 用 户 的 接 入 进行 控制 。 

3. 操作 系统 层 安 全 设计 

各 类 操作 系统 均 不 同 程度 的 存在 安全 性 问题 ， 主 要 表现 在 三 个 方面 : 一 是 操作 系统 本 
身 的 缺陷 带 来 的 不 安全 因素 ， 主 要 包括 身份 认证 、 访 问 控制 、 系 统 漏洞 等 ， 二 是 对 操作 系 
统 的 安全 配置 问题 ， 三 是 病毒 对 操作 系统 的 威胁 。 学 校 各 业务 系统 中 的 办 公用 计算 机 大 都 
采用 微软 公司 操作 系统 ， 而 大 部 分 使 用 者 是 非 专业 用 户 ， 因 操作 系统 安全 漏洞 而 导致 办 公 
用 机 被 攻击 者 控制 ， 从 而 造成 办 公用 机 里 的 资料 被 非法 窃取 。 针 对 操作 系统 存在 的 安全 问 
题 ， 从 下 列 方面 进行 防范 : 

(1) 及 时 安装 操作 系统 补丁 。 

各 类 操作 系统 在 投入 商业 运行 后 ， 各 类 漏洞 不 断 被 发 现 ， 部 分 漏洞 会 给 校园 网 造成 重 
大 安全 隐患 ， 而 安装 补丁 程序 是 弥补 漏洞 的 主要 补救 措施 。 

为 了 保障 Windows 系列 操作 系统 的 安全 ， 设 置 校园 网 Windows Update 自动 更 新 服务 
网 站 ， 保 证 校园 网 上 计算 机 能 够 及 时 、 快 速 的 安装 Windows 各 类 补丁 ， 维 护 全 网 操作 系统 
免 受 网 络 蠕虫 攻击 ， 更 新 操作 系统 ， 修 复 系统 漏洞 ， 保 护 计算 机 安全 。 

(2) 关闭 多 余 的 服务 。 

操作 系统 在 安装 的 时 候 ， 默 认 启 用 了 大 量 服务 程序 ， 其 中 许多 服务 是 不 必要 的 ， 这 些 
服务 程序 的 运行 给 系统 增加 了 不 安全 因素 ， 对 于 此 类 服务 应 予 关 闭 。 

(3) 账户 及 口令 安全 。 
制定 强制 的 账户 及 口令 使 用 制度 ， 确 保 各 类 账户 及 口令 的 复杂 度 ， 并 进行 定期 更 新 ， 
杜绝 因 使 用 缺 省 账号 (例如 root、admin、administrator、guest 等 )、 简 单口 令 给 系统 造成 
的 安全 风险 。 

(4) 采用 网 络 杀毒 软件 。 

采用 网 络 杀毒 软件 系统 ， 如 瑞星 、 卡 巴 斯 基 、 金 山 毒 霸 等 ， 采 用 分 布 处 理 、 集 中 控制 
的 策略 ， 构 建 协调 一 致 的 立体 防 病毒 体系 。 

(5) 系统 日 志 审 计 。 

定期 审计 系统 日 志 ， 及 时 发 现 针 对 网 络 的 攻击 行为 ， 同 时 可 查看 网 络 管理 人 员 的 操作 
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行为 。 
4. 应 用 层 安 全 设计 
应 用 层 安 全 是 指 应 用 系统 的 安全 ， 即 确保 校园 网 内 各 应 用 系统 (如 Web、FTP、 教 务 
管理 系统 、 财 务 管理 系统 、 学 生 管 理 系统 等 ) 安全 、 可 靠 地 运行 。 

应 用 层 安 全 主要 包括 应 用 系统 访问 控制 安全 、 应 用 系统 数据 传输 安全 、 应 用 系统 的 桌 
面 安全 。 针 对 应 用 层 的 应 用 现状 ， 加 强 应 用 层 安 全 需要 进行 下 列 工作 : 

(1) 加 强 日 志 审 计 。 

定期 对 日 志 服 务 器 进行 审计 ， 以 便 发 现 针 对 网 络 设备 可 能 发 生 的 攻击 ， 或 者 可 以 查询 
管理 人 员 操 作 的 历史 记录 。 通 过 详细 记录 用 户 行为 ， 可 以 记录 用 户 对 路 由 器 的 配置 管理 的 
操作 信息 。 定 期 对 日 志 信息 进行 分 析 能 够 尽早 发 现 可 疑 的 网 络 行为 ， 及 时 修补 安全 漏洞 。 

(2) 建立 数据 中 心 。 

对 现 有 的 关键 数据 进行 存储 整合 ， 建 立 存储 区 域 网 ， 采 用 高 性 能 的 磁盘 阵列 做 数据 的 
集中 存储 ;同时 对 关键 服务 器 进行 整改 ， 进 行 统一 管理 。 

(3) 完善 备份 和 恢复 机 制 。 

采用 先进 成 熟 的 备份 软件 ， 为 信息 系统 构建 一 套 完 善 的 数据 保护 方案 ， 用 来 防止 由 于 
意外 造成 的 数据 损坏 和 丢失 。 

(4) 数据 保护 。 

采用 VPN 技术 ， 对 其 重要 的 数据 进行 加 密 ， 采 用 密 钥 技术 对 网 络 中 传输 的 数据 进行 
加 密 和 验证 ， 从 而 保证 数据 的 完整 性 ， 保 证 数据 在 传输 的 过 程 中 不 被 非法 自 改 和 破坏 。 

5. 管理 层 安全 设计 

管理 层 安全 的 实现 主要 是 从 非 技术 层面 的 角度 出 发 ， 主 要 包括 的 内 容 有 安全 技术 和 设 
备 的 管理 、 安 全 管理 制度 、 部 门 与 人 员 的 组 织 规则 等 。 安 全 防范 的 技术 再 先进 ， 如 果 在 管 
理 制 度 与 管理 人 员 的 环节 出 现 了 问题 ， 所 有 的 措施 都 将 毫 无 作用 。 严 格 的 安全 管理 制度 ， 
明确 的 部 门 安全 职责 及 合理 的 人 员 配置 都 会 提升 校园 网 的 安全 系数 。 

具体 的 管理 层 安 全 措施 包括 以 学 校 分 管 安全 的 领导 为 主 ， 成 立 校园 网 安全 督导 小 组 ， 
成 员 包 括 各 个 网 络 节点 的 管理 员 ， 明 确 小 组 中 各 成 员 的 职责 ， 并 将 具体 的 责任 落实 到 每 一 
个 人 ; 明确 每 一 个 人 的 管理 范围 和 设备 ， 组 成 一 个 快速 应 急 响 应 小 组 ， 由 网 络 安全 专家 及 
相关 的 技术 人 员 组 成 ， 以 便 在 发 生 攻击 事件 时 快速 地 做 出 反应 ， 提 供 支持 ， 对 于 每 一 项 对 
校园 网 络 服务 器 及 相关 设备 配置 与 参数 的 修改 都 应 至 少 两 人 同时 在 场 ， 从 而 保证 设置 的 正 
确 性 ， 对 网 络 的 管理 人 员 执 行 定期 培训 和 二 次 教育 ， 以 保证 其 在 遇 到 安全 方面 的 问题 时 能 
够 有 能 力 处 理 ; 实行 职责 分 离 及 保密 制度 ， 对 于 安全 工作 以 外 的 人 员 ， 不 应 告知 相关 的 参 
数 信息 及 设置 信息 等 内 容 ， 除 非 经 过 上 级 部 门 的 批准 。 

管理 制度 很 大 程度 上 影响 着 校园 网 络 安全 性 ， 严 格 的 安全 管理 制度 、 明 确 的 部 门 职责 
划分 、 合 理 的 人 员 和 角色 配置 都 可 以 在 很 大 程度 上 降低 各 类 网 络 安全 事故 的 发 生 。 因 此 ， 给 
校园 网 制定 完善 的 安全 管理 制度 是 十 分 必要 的 。 安 全 管理 制度 应 该 包括 下 面 一 些 主要 方面 
的 内 容 : 

(1) 机 房 安 全 管理 制度 。 

(2) 系统 运行 管理 制度 。 包 括 系统 启动 / 关闭 控制 制度 、 系 统 状态 监控 制度 、 系 统 维 
护 制 度 等 。 


(3) 人 员 管 理 制度 。 包括 管理 人 员 管 理 制度 、 设 计 人 员 管 理 制度 、 操 作 人 员 管 理 制度 、 
人 事 调 动 管理 制度 等 。 

(4) 软件 管理 制度 。 

(5) 数据 管理 制度 。 

(6) 密码 口令 管理 制度 。 

(7) 病毒 防治 管理 制度 。 

(8) 用 户 登 记 和 信息 管理 制度 。 

(9) 工作 记录 制度 。 

(10) 网 络 风险 分 析 制 度 。 

(11) 数据 /信息 备份 制度 。 

(12) 审计 制度 。 

(13) 执行 灾害 恢复 计划 制度 。 

(14) 安全 培训 制度 。 

(15) 合作 制度 。 

(16) 监督 制度 。 


10.3 ”校园 网 出 口 安 全 设计 


学 校 互联 网 出 口 设计 中 采用 CERNET 和 CHINANET 两 种 方式 , 其 中 一 条 为 SOM 的 电 
信和 链 路 ， 另 一 条 为 100M 的 教科 网 链 路 。 新 的 出 口 方案 是 在 原来 的 结构 上 部 署 一 台 
Cisco7604 高 性 能 路 由 器 ， 分 别 连接 到 CERNET 和 CHINANET， 其 中 防火 墙 主要 负责 数 
据 包 过 滤 及 NAT 转换 功能 , 而 数据 包 路 由 与 转发 功能 全 部 交 给 出 口 边界 路 由 器 处 理 , 这 样 
大 大 减轻 了 防火 墙 的 压力 ， 同 时 通过 应 用 策略 路 由 技术 实现 不 同 需要 的 数据 走 不 同 的 网 络 
出 口 ， 提 高 访问 速度 。 

根据 学 校 实际 情况 ， 制 定 出 口 规则 如 下 : 

(1) 当 用 户 是 教科 网 耳 ， 如 果 访 问 教科 网 资源 则 直接 走 教科 网 的 出 口 ， 如 果 访 问 电信 
的 资源 则 先 NAT 成 电信 合法 中 后 走 电信 出 口 。 

(2) 当 用 户 是 电信 下 或 者 私有 人 ,如 果 访 问 教科 网 则 先 NAT 转换 成 教科 网 了 P 后 走 教 
科 网 ， 和 否则 直接 通过 电信 出 口 出 去 。 

(3) 定义 默认 路 由 ， 对 于 无 法 判断 的 卫 一 律 通过 电信 出 口 出 去 。 


10.4 ”统一 身份 认证 系统 的 设计 


在 校园 网 安全 环境 中 ， 通 过 多 条 件 授 权 访 问 来 控制 用 户 准 入 准 出 的 系统 就 是 身份 认证 
系统 。 该 系统 是 基于 内 部 数据 库 的 策略 对 提出 访问 请 求 的 用 户 决定 允许 还 是 拒绝 。 
1 于 终端 用 户 位 于 接 入 点 ， 通 过 身份 认证 可 以 有 效 拒绝 非法 用 户 访 问 ， 从 而 保障 网 络 
的 安全 。 它 主要 由 认证 客户 端 、 认 证 服务 器 和 认证 技术 构成 。 

1. 认证 客户 端 

在 校园 网 上 ， 各 种 应 用 服务 器 的 资源 如 学 生成 绩 管 理 系统 、 学 生 评 优 评 先 系 统 、 精 品 


友 局 网 网 络 交 会 散光 方 美 说 矿 


怡 稳 侈 会 与 管理 (过 - 二 猎 ) 


课程 系统 等 均 需 要 通过 认证 机 制 保护 ， 从 而 保障 这 些 资源 被 合法 的 用 户 使 用 。 因 此 ， 可 以 
将 这 些 资源 的 账号 与 校园 网 账户 统一 起 来 , 一 旦 校园 网 认证 通过 , 将 有 权限 访问 以 上 资源 ， 
实现 统一 身份 认证 。 身 份 认 证 作为 许多 应 用 系统 中 安全 保护 的 第 一 道 防 线 ， 它 的 安全 直接 
决定 整个 校园 网 接 入 安全 。 

身份 认证 客户 端 应 该 具有 以 下 特点 : 

(1) 终端 接 入 用 户 进行 控制 ， 确 保 用 户 的 合法 性 。 

(2) 禁止 在 终端 设置 各 种 代理 共享 服务 。 

(3) 能 够 对 终端 接 入 用 户 的 下 进行 控制 和 管理 〈 任 意 、 静 态 、 动 态 任意 、 动 态 radius 
server 授权 、 上 网 时 改动 合法 中 后 立即 下 线 )。 

(4) 终端 接 入 用 户 多 种 因素 的 绑 定 〈 如 用 户 密码 、 主 机 Mac、 接 入 IP、 交 换 机 IP、 所 
属 Vlan)。 

(5) 多 种 计 费 控制 功能 (包月 、 卡 用 户 、 时 长 、 流 量 、 充 值 、 内 外 网 区 别 计 费 等 )。 

(6) 在 整个 校园 网 使 用 统一 的 账号 认证 ， 利 用 账号 可 以 上 网 ， 也 可 以 访问 成 绩 系 统 、 
选课 系统 、 学 生 评 教 系统 等 应 用 资源 。 

2. 认证 技术 

认证 技术 能 够 确保 通信 双方 身份 的 准确 性 、 不 可 抵赖 性 ,从 而 实现 数据 通信 安全 传输 。 
在 校园 网 上 ， 安 全 的 身份 认证 系统 必须 有 严密 、 可 靠 的 认证 技术 来 提供 保障 ， 通 过 对 不 同 
安全 技术 比较 ， 校 园 网 采用 DES 技术 进行 认证 ， 确 保 网 络 服务 的 安全 与 高 效 。DES 技术 
有 很 高 的 安全 性 ， 通 过 它 对 传输 的 数据 加 密 ， 从 而 确保 数据 不 在 认证 过 程 传输 时 被 截取 。 
另外 ， 还 对 传输 的 数据 采用 数字 签名 技术 ， 有 效 地 防范 重播 攻击 ， 确 保 身 份 认证 系统 的 安 
全 可 靠 。 

认证 的 过 程 主要 由 以 下 4 个 步骤 构成 : 

(1) 客户 端 先 向 服务 器 发 出 认证 请 求 。 

(2) 服务 器 收 到 请 求 后 ， 马 上 生成 一 个 随机 数 传送 到 客户 端 来 应 答 。 

(3) 客户 端 收 到 随机 数 ， 用 私 钥 对 数据 进行 签名 加 密 后 传送 回 服务 器 。 

(4) 服务 器 对 收 到 的 签名 数据 解密 验证 ， 做 出 正确 与 否 判断 后 把 结果 返回 给 客户 端 。 

在 认证 过 程 中 ， 服 务 器 和 客户 端 都 必须 拿 数 据 包 中 加 密 的 信息 校 验 真实 性 ， 而 加 密 的 
内 容 只 有 服务 器 和 客户 端 知道 ， 攻 击 者 不 懂 该 信息 ， 因 此 不 可 能 伪造 ， 从 而 有 效 地 防范 了 
重播 攻击 。 

3. 认证 服务 器 

在 校园 网 接 入 控制 中 ， 在 服务 器 上 对 身份 认证 的 统一 可 以 实现 统一 身份 管理 ， 实 现 网 
络 安全 认证 与 授权 ， 同 时 可 以 通过 平台 提供 的 接口 与 其 他 安全 设备 联系 起 来 ， 直 接管 理 防 
火 墙 、 IDS、 交 换 机 等 ， 从 而 构成 整个 网 络 的 安全 体系 。 

通过 与 其 他 安全 设备 联动 , 以 及 可 视 化 界面 , 让 网 络 管理 员 轻 松 实现 对 整个 网 络 监管 ， 
确保 网 络 安全 。 认 证 服务 器 因为 能 与 其 他 安全 防护 设备 联动 ， 所 以 能 够 对 整个 网 络 设备 运 
行情 况 了 如 指 掌 。 同 时 实时 对 网 络 数据 流量 进行 分 析 ， 结 合 IDS 与 防火 墙 组 成 的 安防 系统 
得 到 的 信息 ， 能 准确 了 解 性 能 状态 及 各 种 故障 源 ， 方 便 管 理 员 进 行 相应 的 技术 处 理 。 

此 外 ， 认 证 服务 器 应 具有 用 户 管理 模块 、 策 略 制 定 模块 、 营 账 模块 、 收 费 管理 模块 、 
网 络 运 维 模块 、 数 据 分 析 模 块 及 提供 统一 的 接口 ， 供 其 他 安全 设备 使 用 。 
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一 、 选 择 题 
下 面 不 属于 校园 网 络 中 传输 数据 信息 的 危害 的 是 (  )。 

A. 越权 非法 访问 B. 假冒 合法 用 户 

C. 木马 与 病毒 D. 干扰 运行 
二 、 填 空 题 
1. 对 于 网 络 线路 中 电磁 辐射 的 控制 是 一 项 重要 的 内 容 ， 主 要 采用 两 种 方式 一 种 
， 另 一 种 是 5 
.网络 层 主要 的 安全 措施 是 利用 
、 简 答题 
.校园 网 安全 要 面 对 的 主要 威胁 有 哪些 ? 
.当前 校园 网 的 安全 问题 主要 有 哪些 ? 
. 校园 网 在 安全 方面 要 满足 哪些 需求 ? 
. 校园 网 网 络 安 全 方案 设计 的 原则 有 哪些 ? 
.安全 设计 遵循 的 标准 有 哪些 ? 
. 需 在 哪些 层次 上 提出 网 络 安全 设计 方案 ? 
.操作 系统 层 安 全 设计 主要 有 哪些 内 容 ? 
. 应 用 层 安 全 设计 主要 有 哪些 内 容 ? 
.安全 管理 制度 应 该 包括 哪些 主要 方面 的 内 容 ? 
.根据 学 校 实际 情况 ， 出 口 规则 应 该 包括 哪些 主要 方面 的 内 容 ? 
.身份 认证 系统 的 设计 包括 哪些 方面 ? 
. 技术 支持 方式 有 哪些 形式 ? 
.安全 技术 培训 一 般 有 哪些 内 容 ? 


和 设备 进行 相应 的 保护 。 
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第 11 章 | 实验 1 Sniffer 软件 的 使 用 


11.1 实验 目的 及 要 求 
11.1.1 实验 目的 


通过 实验 操作 掌握 Sniffer 软件 的 安装 与 基本 功能 的 使 用 , 对 于 监控 软件 原理 有 一 定 的 
了 解 。 能 够 熟练 使 用 Sniffer 软件 实现 常用 的 监控 功能 。 
11.1.2 ”实验 要 求 


根据 教材 中 介绍 的 Sniffer 软件 的 功能 和 步骤 来 完成 实验 ， 在 掌握 基本 功能 的 基础 上 ， 
实现 日 常 监控 应 用 ， 给 出 实验 总 结 报告 。 


11.1.3 ”实验 设备 及 软件 


j 台 磁盘 格式 配置 为 NTFS 的 Windows 2000/XP 操作 系统 的 计算 机 , 局 域 网 环境 、FTP 
服务 器 、Sniffer Pro 4.7.5 软件 。 


11.1.4 ”实验 拓扑 
实验 拓扑 如 图 11.1 所 示 。 


被 镜像 端口 


路 由 器 


攻 Internet 


镜像 端口 


外 网 


本 PC Sniffer Pro 


图 11.1 实验 拓扑 


11.1.5 交换 机 端口 镜像 配置 
以 锐 捷 交换 机 为 例 ，fa0/2 端口 监控 fa0/10 端口 的 步骤 如 下 : 


Switch >en 

Switch #conf 七 ! 进 入 全 局 配置 模式 

Switch (config)# monitor session 1 source interface fastEthernet 0/10 both 
! 设 置 被 监控 口 

Switch (config)# monitor session 1 destination interface fastEthernet 0/2 
! 设 置 监控 口 

Switch (config)# end 

Switch#wr 

Switch# show monitor session 1 ! 查 看 当前 配置 

Switch (config)# no monitor session 1 ! 清 除 当 前 配置 


11.2” Sniffer 软件 概述 


Sniffer Pro 软件 是 NAI 公司 推出 的 功能 强大 的 协议 分 析 软 件 。 本 实验 利用 Sniffer Pro 
软件 的 强大 功能 解决 网 络 中 的 一 系列 故障 问题 。 
11.2.1 功能 简介 


下 面 列 出 了 Sniffer 软件 的 一 部 分 功能 介绍 ， 更 多 功能 的 详细 介绍 可 以 参考 Sniffer Pro 
软件 的 在 线 帮助 

(1) 捕获 网 络 流量 进行 详细 分 析 。 

(2) 利用 专家 分 析 系 统 诊断 问题 。 

(3) 实时 监控 网 络 活动 。 

(4) 收集 网 络 利 用 率 和 错误 。 

Sniffer 的 安装 非常 简单 ，setup 后 一 直 单 击 “ 确 定 ”按钮 即 可 。 第 一 次 运行 时 需要 选择 
网 卡 , 确定 从 计算 机 的 哪个 网 卡 上 接收 数据 。 选 择 “ 文 件 ” 一 “选择 设置 ” 命令， 如 图 11.2 
所 示 。 

选择 设置 | 
选择 鉴 听 的 网 络 接口 : (8) 


Local 


EblVYNrare Accelerated AND PCHe 


图 11.2 选择 捕获 网 卡 


笑 验 1] Sniffer 长 伴 失范 局 
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风疹 颁 会 与 合理 ( 谎 二 把 ) 


选择 网 卡 后 才能 正常 工作 。 该 软件 如 果 安 装 在 Windows 98 操作 系统 上 ,Sniffer 可 以 选择 
拨号 适配器 对 窄带 拨号 进行 操作 。 如 果 安 装 了 EnterNet500 等 PPPOE 软件 还 可 以 选择 虚拟 出 
的 PPPOE 网 卡 。 对 于 安装 在 Windows 2000/XP RD i NO 有 寺 加 | 工 册 0 站 二 加 诈 GE 第 而 


上 则 无 上 述 功能 ， 这 和 操作 系统 有 关 。 
图 11.3 所 示 为 Sniffer Pro 中 快捷 键 的 位 

置 。 上 面 为 捕获 报 文 快捷 键 ， 下面 为 网 络 性 能 图 11.3 快捷 键 

监视 快捷 键 。 

11.2.2 报 文 捕获 解析 
1. 捕获 面板 


报 文 捕获 功能 可 以 在 报 文 捕获 面板 中 进行 设置 ， 图 11.4 所 示 为 捕获 面板 的 功能 图 。 按 
钮 的 功能 从 左 到 右 分 别 为 捕获 开始 、 捕 获 暂停 、 捕 


| 硬 厨 晤 加 加 天 [一 本 | 藉 停 上 、 停 上 并 显示 、 显 示 、 定 义 过 波 器 、 选 择 过 
图 11.4 捕获 面板 快捷 键 滤器 等。 


2. 捕获 过 程 报 文 统计 
在 捕获 过 程 中 可 以 通过 捕获 面板 查看 捕获 报 文 的 数量 和 缓冲 区 的 利用 率 ， 如 图 11.5 
所 示 。 
3. 捕获 报 文 查看 
Sniffer Pro 提供 了 强大 的 分 析 能 力 和 解码 功能 。 如 图 11.6 所 示 ， 对 于 捕获 的 报 文 提供 
了 一 个 Expert 专家 分 析 系 统 进行 查看 分 析 ， 还 有 解码 选项 及 图 形 和 表格 的 统计 信息 。 


| 时 Snif5: 专家 ，6354 以 太 同 帧 
汉 到 型 凤 
Protocol 
... [172.30, 37.255] SHB 
[172. 30.37.255] SMB 
WANG-40DCODOABE. . . SMB 
[172.30.37.255] = SMB 


[172. 30.37.255] = SMB 
[IT2. 30.37.255] SMB 
[172. 30. 36. 117] NTP 
[IT2.30.36.233] HTTP 
[IT2. 30.36.130] HITTP 
[IT2. 30.36.130] HTTP 
[172. 30, 37. 139] JTTP 
[iT2. 30.36.130] HTTP 


[172.30.37.139] NITP 


Protocol Dist- 


图 11.5 捕获 过 程 报 文 统计 面板 图 11.6 专家 分 析 系 统 


4. 专家 分 析 

专家 分 析 系 统 提 供 了 一 个 分 析 平 台 ， 对 网 络 上 的 流量 进行 一 些 分 析 ， 对 于 分 析出 的 诊 
断 结果 可 以 通过 查看 在 线 帮助 获得 。 

在 图 11.7 中 显示 出 在 网 络 中 WINS 查询 失败 的 次 数 及 TCP 重 传 的 次 数 统计 等 内 容 ， 
可 以 方便 了 解 网 络 中 高 层 协 议 出 现 故障 的 可 能 点 。 


onrRespansive Station 
Bon-Responsive Station 
on-Responsive Station 
Too Nany Retransaissions 
Borr Besponsive Station 
onrRespensive Station 


Non-BResponsive Station 
ion-Respansive Station 
lns Yon Besponsive Station 

2002/8/11 15: Too Nany Retransaissions 
2002/6/11 15: Non-Responsive Station 
2002/6/11 15: Bon-BResponsive Station 


图 11.7 分 析出 的 结果 


对 于 某 项 统计 分 析 ， 可 以 通过 用 鼠标 双击 此 条 记录 来 查看 其 详细 信息 ， 也 可 以 对 详细 
信息 中 的 每 一 项 做 进一步 查看 。 

5.， 解码 分 析 

图 11.8 是 对 捕获 报 文 进行 解码 的 显示 ， 通 常 分 为 三 部 分 ， 目 前 大 部 分 此 类 软件 结构 都 
采用 这 种 结构 显示 。 对 于 解码 主要 要 求 分 析 人 员 对 协议 比较 熟悉 ， 这 样 才能 看 懂 解 析出 来 
的 报 文 。 使 用 该 软件 是 很 简单 的 事情 ， 利 用 软件 解码 分 析 来 解决 问题 的 关键 是 要 对 各 种 层 
次 的 协议 了 解 得 比较 透彻 。 工 具 软 件 仅 能 提供 一 个 辅助 分 析 的 手段 。 


Destination port = S691 
Sequence nunber = 1954833814 
: Next expected Seq nunber= 1954835274 


| 加 

00000010: 05 dc 8b a2 40 00 3e 06 9c 3f d2 1 机 抽 

00000020 中 cd 65 16 3b 74 84 65 96 ere2 林 名 站 HB 

00000030: bb el 00 00 d4 74 7d 52 ab 79 上 通 吕 

00000040 b6 ba 01 80 89 67 91 17 79 20 7c 二 Ba 日 六 

nnnnnnsn Ne 2h 27 Se m3 hr 99 14 7a 7= 54 FA NA IF a + 下 tN 
Protocal Dist. 


图 11.8 解码 的 显示 


对 于 MAC 地 址 ，Sniffer Pro 进行 了 头 部 的 替换 ， 如 00e0fe 开头 的 就 替换 成 Huawei， 
这 样 有 利于 了 解 网 络 上 各 种 相关 设备 的 制造 厂商 信息 。 

功能 是 按照 过 滤器 设置 的 过 滤 规 则 进行 数据 的 捕获 或 显示 。 在 菜单 上 的 位 置 分 别 为 
“捕获 ”一 “定义 过 滤器 和 显示 ”一 “定义 过 滤器 ”。 

过 滤器 可 以 根据 物理 地 址 、IP 地 址 和 协议 的 选择 进行 组 合 筛选 。 第 

统计 分 析 功能 对 于 矩阵 、 主 机 列表 、 协 议 分 类 、 统 计 表 等 提供 了 丰富 的 组 合 统计 ， 操 
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作 起 来 比较 简单 ， 可 以 很 快 掌握 ， 这 里 就 不 再 详细 介绍 了 。 
11.2.3 设置 捕获 条 件 


1， 基 本 捕获 条 件 

基本 的 捕获 条 件 有 两 种 : 

(1) 链 路 层 捕获 。 按 源 MAC 和 目的 MAC 地 址 进行 捕获 ， 输 入 方式 为 十 六 进 制 连续 
输入 ， 如 00EOFC123456， 如 图 11.9 所 示 。 


11.9 ”设置 捕获 条 件 


(2) IP 层 捕获 ， 按 源 和 目的 他 进行 捕获 ,输入 方式 为 点 间隔 方式 ， 如 10.107.11.1。 
如 果 选 择 IP 层 捕获 条 件 ， 则 ARP 等 报 文 将 被 过 滤 掉 。 

2. 高 级 捕获 条 件 

在 “高 级 ”选项 卡 中 可 以 编辑 协议 捕获 条 件 ， 如 图 11.10 所 示 。 


定义 过 涛 器 -捕获 


图 11.10 设置 高 级 捕获 条 件 


在 协议 选择 树 中 可 以 选择 需要 捕获 的 协议 条 件 , 如 果 什 么 都 不 选 , 则 表示 忽略 该 条 件 ， 
捕获 所 有 协议 。 

在 数据 包 大 小 条 件 下 ， 可 以 选择 捕获 等 于 、 小 于 、 大 于 某 个 值 的 报 文 。 

在 数据 包 类 型 条 件 下 ， 可 以 选择 捕获 网 络 上 哪些 种 类 的 数据 包 。 

单 击 “ 配 置 文件 ”按钮 ， 可 以 将 当前 设置 的 过 滤 规 则 进行 保存 ， 然 后 在 捕获 主 面板 中 
就 可 以 选择 保存 的 捕获 条 件 了 。 

3. 任意 捕获 条 件 

在 “数据 模式 ”选项 卡 中 ， 可 以 编辑 任意 捕获 条 件 ， 如 图 11.11 所 示 。 


定义 过 洲 器 -捕获 ?Ix 


摘要 ”| 地 址 。 数据 模式 | 高 级 “| 组 中 | 


添加 nyo8 | 乞 定 Am/oRGD | | 添加 NOT | 
增加 模式 A) | 纺 轨 入 式 区 阐 | 开除 面 ) | 赋值 WD | 


取消 | 配置 文件 .| 


图 11.11 编辑 任意 捕获 条 件 


用 这 种 方法 可 以 实现 复杂 的 报 文 过 滤 ， 但 很 多 时 候 得 不 偿 失 ， 有 时 截获 的 报 文本 就 不 
多 ， 还 不 如 自己 看 看 来 得 快 。 
11.2.4 网 络 监视 功能 


网 络 监视 功能 能 够 时 刻 监视 网 络 统计 、 网 络 上 资源 的 利用 率 ， 并 能 够 监视 网 络 流量 的 
异常 状况 。 这 里 只 介绍 一 下 仪表 盘 和 ART， 直 接 使 用 即 可 ， 比 较 简 单 。 

1. 仪表 盘 

仪表 盘 可 以 监控 网 络 的 利用 率 、 流 量 及 错误 报 文 等 内 容 。 通 过 应 用 软件 可 以 清楚 地 看 
到 此 功能 ， 如 图 11.12 所 示 。 

2. 应 用 响应 时 间 

应 用 响应 时 间 (ART) 可 以 监视 TCP/UDP 应 用 层 程序 在 客户 端 和 服务 器 的 响应 时 间 ， 
如 HITP、FTP、DNS 等 应 用 ， 如 图 11.13 所 示 。 


颁 哈 1 Sniffer 效 他 失 代用 


击 二 尘 


全 Short Term 


e Long Term 


口 口 数据 包 生 


口 利用 

口 口 错误 
OOorpss 
口 口 韦 节 k 
口 口 广播 


口才 点 传送 


加 11975.213.50 
半 寺 || 加 125.46.1.226 
x | 加 202.108.23.61 

思 202112.28.153 
! 加 202116.160.92 
XK|| 加 22273207.132 
加 22273.207.136 


加 60.28.22.61 
加 ?4125.153100 


图 11.12 仪表 盘 界 面 


加 Pc:200811211103 17 15 16 19 
加 PC:200811211103 128 128 127 129 
加 PC:200811211103115 118 13 120 
加 Pc:200811211103 42 46 37 49 
加 Pc:200811211103 50 54 48 55 
到 PC:200811211103 319 323 296 337 
加 PC-200811211103 285 279 281 288 
加 PC:200811211103140 ”136 140 140 
因 PC-200811211103 81 87 75 92 


图 11.13 ART 界面 


11.3 数据 报 文 解码 详解 


4 4 0 
0 0 
6 0 0 
78 0 78 
124 0 49 
4 0 0 
2 0 0 
2 0 0 
5 0 0 


本 节 主 要 对 数据 报 文 分 层 、 以 太 报 文 结构 、IP 协议 解码 分 析 做 简单 的 描述 ， 目 的 在 于 
介绍 Sniffer Pro 在 协议 分 析 中 的 功能 作用 ， 并 通过 解码 分 析 对 协议 进一步 了 解 。 


11.3.1 数据 报 文 分 层 
如 图 11.14 所 示 ， 对 于 四 层 网 络 结构 ， 其 不 同 层次 完成 不 同 功 能 。 每 一 层次 由 众多 协 


议 组 成 。 


如 图 11.15 所 示 ， 在 Sniffer Pro 的 解码 表 中 分 别 对 每 一 个 层次 协议 进行 解码 分 析 。 


链 路 层 对 应 DLC; 网 络 层 对 应 下 ; 传输 层 对 应 UDP; 应 月 


旧 层 对 应 的 是 NETB 等 高 层 协 


议 。Sniffer 可 以 针对 众多 协议 进行 详细 结构 化 解码 分 析 ， 并 利用 树 型 结构 良好 的 表现 


出 来 。 


应 用 层 Telnet FTP 和 E-mail 等 


传输 层 TCP 和 UDP 百 志 IC: Ethertype=0800，size=229 by 
由 于 IP: D=[10.65.64.255] S=[10.65. 于 io IEN=195 ID=4372 
UDP: D=138 S=138 IEN=195 
由 中 NETB: D-XXYCc1E》S-CWK2 Datagran. 105 bytes (of 173) 
甸 CIFS/SMB: C Transacticn 


: 了 了 应 用 搓 门 卡 “| 四 材 SMBMSP: write nail slot \MAILSLOT\BROWSE 
链 路 层 设备 驱动 程序 及 接口 卡 由 和 BROWSER; Election Force 


网 络 层 IP ICMP IGMP 


图 11.14 四 层 网 络 结构 图 图 11.15 “分 层 协议 解码 分 析 
11.3.2 以太 网 帧 结构 


如 图 11.16 所 示 ，Ethemet_II 以 太 网 帧 类 型 报 文 结构 为 : 目的 MAC 地 址 (6bytes) + 
源 MAC 地 址 (6bytes ) + 上 层 协 议 类 
型 (2bytes) + 数据 字段 (46 一 1500bytes)+ 校 
验 (4bytes)。 图 11.17 为 以 太 网 帧 结构 的 [pvac | smac DATA/PAD| Fcs 
显示 。 

Sniffer Pro 会 在 捕获 报 文 的 时 候 自动 记 ED 
录 捕 获 的 时 间 ， 在 解码 显示 时 显示 出 来 ， 在 分 析 问题 时 提供 了 很 好 的 时 间 记 录 。 

源 目的 MAC 地 址 在 解码 框 中 可 以 将 前 三 字 节 代表 厂商 的 字段 翻译 出 来 ， 方 便 定位 问 
题 。 例 如， 网 络 上 两 台 设备 IP 地 址 设置 冲突 ， 可 以 通过 解码 翻译 出 厂商 信息 方便 地 将 故障 
设备 找到 ， 如 00e0fe 为 华为 ，010042 为 Cisco 等 。 如 果 需 要 查看 详细 的 MAC 地 址 ， 用 鼠 
标 在 解码 框 中 单 击 此 MAC 地 址 ， 在 下 面 的 表格 中 会 突出 显示 该 地 址 的 十 六 进 制 编码 。 


Ethernet II 


DIC: Frane 1 arrived at 16:25:18.0098; frame size is 1514 (05EA hex) by 
DIC: Destination = Station 00142A0B2F04 


已 
BDLIC: Ethertype = 0800 (IP) 


BDrc 

月 办 IP， 一 一 IP Header ————— 
| ss | 加 
[0000000: 00 14 za Ob 2f 04 DUM ee 06 00 45 00 本 玻 

ooonnans nsdn boo ne bens 1 Zon 2 5 

00000020: 24 b0 00 50 0c c5 2e da e: ee de 50 10 $7P 7 

B0000030: 3é 88 23 se 0 5 70 de 7 3 $3 ae Se a 39 27 i 

00000040: 84 9b ea 4e 0d 03 c8 cc le 25 ca 7c 4b 52 18 89 区 人 1 
00000050: 33 29 91 24 8d cl f0 3b 92 b2 £8 63 d0 b3 ld 09 a 

D00000s0: 69 Ob bf £3 60 8 87 of 2f af 08 26 15 99 11 s8 i,m 密 ?7& ol 

nnnnnnzn: 2e 78 1a n7 hh a4 cn 16 f4 81 N9 e3 cf 1h 2f h7 mx 护 ?由 油 2 

\ 专 家 入 解码 Protocol Dist 


图 11.17 以 太 网 帧 结构 的 显示 


对 于 卫 网 络 来 说 , Ethertype 字段 承载 的 是 上 层 协议 的 类 型 , 主要 包括 0x800(IP 协议 )、 
0x806 (ARP 协议 )。 
IEEE 802.3 以 太 网 报 文 结构 如 图 11.18 所 示 。 


LLC 子 层 8 位 8/116 位 


MAC 了 层 [DMACT SMACT Lengh| ILC | DATA/FCS] 
IEEE 802.3 帧 结构 


图 11.18 IEEE 802.3 以 太 网 帧 结构 


颁 哈 1 Sniffer 区 他 挡 爷 局 


地 全 于 


风疹 颁 会 与 合理 ( 谎 二 族 ) 


图 11.19 为 IEEE 802.3SNAP 帧 结构 ， 与 Ethemet_ I 不 同 的 是 目的 地 址 和 源 地 址 后 面 
的 字段 代表 的 不 是 上 层 协 议 类 型 ， 而 是 报 文 长 度 ， 并 多 了 LLC 子 层 。 


日 吉 DIc: 一 一 DIC Header 一 一 - 
DLIC 
DIC: Frane 1 arrived at 12:13:38.8809; frane size is 64 (0040 hex) 
DDIC: Destination = Multicast 0180C2000000. Bridge_Group_Addr 
LDIC: Source = Station Cisco EC9C54 
LDLC: 802.3 length = 38 
Borc 

日 入 IIC: -一 一 LLC Header -一 一 


IIC 

DSAP Address = 42, DSAP IG Bit = 00 (Individual Address) 
ILC: SSAP Address = 42, SSAP CR Bit = 00 (Command) 

ILC: Unnunbered frame: UI 


图 11.19 IEEE 802.3SNAP 帧 结构 


11.3.3 JIP 协议 


IP 报 文 结构 为 人 P 协议 头 十 载荷 , 其 中 对 他 协议 头 部 的 分 析 是 分 析 IP 报 文 的 主要 内 容 
之 一 ， 关 于 了 P 报 文 详细 信息 请 参考 相关 资料 。 这 里 给 出 了 卫 协议 头 部 的 一 个 结构 。 

。 版 本 : 4 一 一 IPv4。 

。 首部 长 度 : 单位 为 4 字 节 ， 最 大 60 字 节 。 

。 TOS: IP 优先 级 字段 。 

。 总 长 度 : 单位 字 节 ， 最 大 65 535 字 节 。 

。 标识 : IP 报 文 标识 字段 。 

。 标志 : 占 3 位， 只 用 到 低位 的 两 位 。 

MF (More Fragment) 

MF=1， 后 面 还 有 分 片 的 数据 包 。 

MF=0， 分 片 数 据 包 的 最 后 一 个 。 

DF (Don't Fragment ) 。 

DF=1， 不 允许 分 片 。 

DF=0， 人 允许 分 片 。 

。 段 偏 移 :分 片 后 的 分 组 在 原 分 组 中 的 相对 位 置 ， 总 共 13 位 ， 单 位 为 8 字 节 。 

。 寿命 ，TTL (Time To Live) 丢弃 TTL=0 的 报 文 。 

。 协议 : 携带 的 是 何 种 协议 报 文 。 

1: ICMP 

6: TCP 

17: UDP 

89: OSPF 

。 头 部 检验 和 : 对 了 P 协议 首部 的 校 验 和 。 

。 源 地 地址 : IP 报 文 的 源 地 址 。 

。 目的 了 P 地 址 : IP 报 文 的 目的 地 址 。 

图 11.20 为 Sniffer Pro 对 了 P 协 议 首部 的 解码 分 析 结构 ， 和 了 IP 首部 各 个 字段 相对 应 ， 并 


给 出 了 各 个 字段 值 所 表示 含义 的 英文 解释 。 报 文 协 议 〈Protocol) 字段 的 编码 为 6， 代表 
TCP 协议 。 其 他 字段 的 解码 含义 可 以 与 此 类 似 ， 只 要 对 协议 理解 的 比较 清楚 ， 对 解码 内 容 
的 理解 将 会 变 得 容易 。 


IP: Yersion = 4. header length = 20 bytes 
"3 IP: Type of service = 00 
了 PE: 90090052 :235 = routine 


IP: .0 .= normal delay 

IP: ,0... = nornal throughput 

IP: = nornal reliability 

IP: .0. = ECT bit - transport protocol 


SR ..0 = CE bit - no congestion 
IP: Total length = 1500 bytes 

IP: Identification = 11964 

-IP: Flags = 4X 


Tp: :1.. .... = don't fragnent 
理 : 0. .... = last fragnent 


IP: Fragnent offset = 0 bytes 

IP: Time to live = 54 seconds/hops 
IP: Protocol = 6 (TCP) 

IP: Header checksum = B667 (correct) 

IP: Source address = [118.228.18.70] 
IP: Destination address = [172.30.36.176] 
IP: No options 


图 11.20 P 协 议 首部 的 解码 分 析 结 构 


11.4 使 用 Sniffer Pro 监控 网 络 流量 


11.4.1 设置 地 址 簿 


如 何 查询 网 关 流 量 ， 这 也 是 最 为 常用 、 重 要 的 查询 之 一 。 

扫描 于 -MAC 对 应 关系 。 这 样 做 是 为 了 在 查询 流量 时 方便 判断 具体 流量 终端 的 位 置 ， 
MAC 地 址 不 如 瑟 地 址 方便 。 

选择 菜单 栏 中 的 “工具 ”一 “地 址 短 ” 命 令 ， 单 击 左边 的 放大 镜 (autodiscovery 扫描 ) 
按钮 ， 在 弹出 的 窗口 中 输入 要 扫描 的 下 地 址 段 ， 本 例 输入 172.30.37.1 一 172.30.37.255， 单 
击 “ 好 ”按钮 ， 如 图 11.21 所 示 ， 系 统 会 自动 扫描 了 P-MAC 对 应 关系 。 扫 描 完毕 后 ， 选 择 
“数据 库 ” 一 “保存 地 址 敌 ” 命 令 ， 系 统 会 自动 保存 对 应 关系 ， 以 备 以 后 使 用 。 


第 
11 
章 
菇 验 ] Sniffer 疼 侨 的 代用 


11.21 扫描 的 下 地 址 段 选项 


网 经 颁 会 与 少 


屠 ( 淄 二 族 ) 


11.4.2 
选择 


查看 网 关 S 光 充 量 


“网 络 性 能 监视 快捷 键 ”一 
角 MAC-IP-IPX 中 的 MAC ( 
QQ、 浏 览 网 站 、 上 传 、 下 载 等 行为 都 是 各 终端 


所 示 。 其 中 数据 流量 最 大 的 加 深部 分 就 是 网 关 。 


汉 主机 列表 : 96 位 置 ”=|D| x| 


“主机 列表 ”命令 ， 然 后 选择 “了 
为 什么 选择 MAC? 在 网 络 中 ， 所 有 终端 的 对 外 数据 ， 如 使 用 
与 网 关 在 数据 链 路 层 中 进 


E 机 列表 ”界面 左下 


行 的 )， 如 图 11.22 


3 | 
葡 | 融 0001F4464DC8 0 2 24 0 
殉 || 虽 0001F4603A00 0 1 64 0 
0008D4014202 0 6 384 6 
El 加 000E0C4BA447 0 81 0 5.184 81 
明 00105CE95ABD 7 0 838 0 0 
彝 00105CE96D21 24 0 3.346 0 0 
105CEA2! 334 0 215,704 0 0 
完 || 驾 001105184885 0 5 0 B47 5 

让 | 号 0011091D449E 7 7A 

= 0011091D44C0 345 0 28,594 0 0 
晤 0011091D44F8 0 23 0 2.092 22 
咱 | 吕 oo110910D4 0 1 0 247 1 
二 0011091D4A1D 37 0 4.973 0 0 
0011091D4ABF 0 99 0 9504 99 
电 0011091D4B1E 2615 0| 1.752746 0 0 
0011091D4B20 178 0 12.570 0 0 
0011091D4869 2 0 279 0 0 
a 0011091DC249 1.438 0 787771 0 0 
0011093DE403 46 0 5.351 0 0 


图 11.22 查看 流量 


11.4.3 ”找到 网 关 的 IP 地址 


选择 “条 状 图 ”( 本 例 中 网 关 下 为 172.30.37.1), 172.30.37.1 (网 关 ) 流量 在 TOP-10 图 


中 为 最 高 的 ， 如 图 11.23 所 示 。 右 边 以 网 卡 物理 地 址 方式 显示 ， 很 容易 定 


端 所 在 位 置 。 


流量 以 3D 柱 形 图 的 方式 动态 显示 。 本 图 中 MAC 地 址 0011091d449e 与 网 关 流 量 最 大 ， 且 
与 其 他 终端 流量 差距 悬 于 ， 如 果 这 个 时 候 网 络 出 现 问 题 ， 可 以 重点 检查 此 MAC 地 址 是 否 
有 大 流量 相关 的 操作 。 


主机 列表 112 位 置 


EE 
加 
引 
图 | 
咱 
] 
x 
到 
凶 
可 | 


172.30.37.1 (网 关 ) 与 


量 都 在 这 里 


动态 显示 


图 11.23 ”实时 流量 图 


17230371 

0011091D449E 
00142A0B4F25 
00110940495D 
001EC9574576 
0011091DC249 
0011091D4B1E 
00192173DB43 
0014280B4C5C 
00142A0B323D 


与 内 部 所 有 流量 通信 图 ， 如 图 11.24 所 示 ， 网 关 与 内 网 间 的 所 有 流 


在 实验 中 ， 绿 色 线条 状态 为 正在 
流量 的 大 小 成 正比 。 
如 果 将 鼠标 移动 至 线条 处 ， 程 序 


图 11.24 流量 通信 图 


通信 中 ; 暗 绿色 线条 状态 为 通信 中 断 。 线 条 的 粗细 与 


显示 出 流量 双方 位 置 、 通 信 流 量 的 大 小 〈 包 括 接收 、 


发 送 )， 并 自动 计算 流量 占 当前 网 络 的 百分比 。 


11.4.4 基于 IP 层 流量 


(1) 为 了 进一步 分 析 IP 的 异常 情况 ， 切 换 至 基于 IP 层 的 流量 


统计 图 中 看 看 。 选 择 菜 


单 栏 中 的 “网 络 性 能 监视 快捷 键 ” 一 “主机 列表 ”命令 ， 然 后 选择 “主机 列表 ”界面 左下 


角 MAC-IP-IPX 中 的 IP。 


(2) 找到 数据 量 比较 大 的 了 P 地 址 172.30.36.84 (可 以 用 鼠标 单 击 数据 包 排序 ， 以 方便 


查找 )， 选 择 “ 主 机 列表 ”一 “条 状 图 ”命令 (如 图 11.25 所 示 )。 


172.30.2.68 
团 172303684 


画 | 罗 | |X|-=|= | 类 | 针 |@@ 驾 | 


图 11.25 


图 172.30.36.169 
图 172.3036.230 
国 218.193.27.38 
国 22229101.114 
图 202118.98130 
国 59.64.160.103 
国 172303661 

图 1723036.59 


基于 他 层 的 流量 统计 图 


受难 1 Sniffer 次 他 失 代用 


砚 乡 侈 会 与 党 型 《过 二 底 ) 


(3) 切换 至 “和 矩阵 ”图 形 来 看 看 它 与 所 有 IP 的 通信 流量 图 ， 如 图 11.26 所 示 。 


E 的 位 置 : 172. 30. 36. 84 个 : 11 洒 


传输 地 图 为 了 172.30.36.84 


图 11.26 172.30.36.84 与 所 有 人 P 的 通信 流量 图 


从 172.30.36.84 的 通信 图 中 可 以 看 到 与 它 建立 卫 连接 的 情况 。 图 11.25 中 IP 连接 数据 
量 非常 大 ， 这 对 于 普通 应 用 终端 来 讲 显然 不 是 一 种 正常 的 业务 连接 。 可 以 猜测 ， 该 终端 可 
能 正在 进行 观看 P2P 类 在 线 视频 的 操作 。 

为 了 进一步 证 明 这 种 猜测 ， 可 以 去 看 看 172.30.36.84 的 流量 协议 分 布 情况 。 

(4) 如 图 11.27 所 示 ，Protocol 类 型 绝 为 其 他 。 在 Sniffer Pro 中 其 他 表示 未 能 识 


别 出 来 协议 ， 如 果 提 前 定义 了 协议 类 型 ， 这 里 将 会 直接 显现 出 来 。 
EYE | 
地 址 入 境 数 据 包 | 入 起 宇 节 | 出 起 数据 包 | 出 起 宇 节 
Ea 172 3036 64 359302 506.596.367 0 0 
其 他 172.30.36.169 141.230 128748665 0 0 
172.30.36.230 23155 26813924 .0 0 

HTTP 172.30.36.92 21.888 31.161.022 |0 0 
| 二 地 172.30.36.59 10614 1.852925 0 0 
方 ||HTTE 172.30.36.61 13857 15981.800 0 0 
本 |NaBlos NS u |172.30.37.255 5863 564702 0 0 
三 本 1723036208 6216 512578 0 0 
172.30.36.117 5849 587.395 0 0 
| ees 172.30.36.120 5.268 B464.039 0 0 
! 172.30.36.59 4.918 2208690 0 0 
x 其 他 172.30.36.121 4.207 2.758.087 0 0 
172.30.36.85 3.903 903030 0 0 
时 172.30.36.83 3819 4252664 0 0 
HTTP 172.30.36.121 2.153 1.767.718 0 0 
1723036132 1.952 1.632.877 0 0 

| PART 


图 11.27 Protocol 类 型 


通过 选择 “工具 ”一 “选项 ”一 “协议 ”命令 ， 在 第 19 栏 中 定义 14405 (BT 的 默认 
监听 端口 )， 取 名 为 bt， 如 图 11.28 所 示 。 

注意 : 很 多 P2P 类 软件 并 没有 固定 的 使 用 端口 ， 且 端口 也 可 以 自 定 义 ， 因 此 使 用 本 方 
法 虽然 不 失 为 一 种 检测 P2P 流量 的 好 方法 ， 但 并 不 能 完全 保证 其 准确 性 。 具 体 端 口号 可 根 
据 实 际 情况 进行 调整 。 


普通 “| Mc 阅 | 应 用 阅 | 警报 。” 协议 | 协议 强度 | 


Ce |] ws | 


图 11.28 ”定义 监听 端口 


11.5 使 用 Sniffer Pro 监控 “广播 风暴 ” 
11.5.1 设置 广播 过 滤器 


打开 Sniffer Pro 后 ， 选 择 “ 监 视 器 ”一 “定义 过 滤器 ”命令 。 首 先 来 新 建 过 滤器 ， 并 
将 其 名 定义 为 Broadcast。 定义 好 名 称 后 , 在 “地 址 选项 卡 中 的 “已 知 的 地 址 : (Dragable)” 
列表 框 中 展开 “主机 地 址 ”将 其 下 的 FFFFFFFFFFFF (广播 ) 拖 入 位 置 1 中 或 直接 输入 ， 
如 图 11.29 所 示 。 

EEEEE 监视 器 


摘要 。 地 址 | 数据 模式 | 高 级 | 组 冲 | 
地 址 类 型 : &) 已 知 的 地 址 : Dragabla) 8) 


00155834BS8D (00155834B5E 
如 001D09049417 (00100904941 
对 | FFFFFFFFFFFF (广播 ) 

员 001D0904983C Ooln0g04se< 二 | 
加- a "i 


a 


图 11.29 新 建 广播 过 滤器 


11.5.2 ”选择 广播 过 滤器 
选择 “监视 器 ”broadcast 命令 ， 如 图 11.30 所 示 。 


中 
SS 
ee 


Sn 次 厌 契 克 万 


地 会 唱 


风疹 人 委 会 与 合理 ( 谎 二 把 ) 


地 址 

类 型 : 硬件 
模式 : 包含 
了 FFFFFFFFFFF 《<--> 任意 的 


组 种 器 大 小 : 8 Mleg. 字 节 
组 冲 器 动作 : 玻 盖 (Wrap) 


图 11.30 选择 广播 过 滤器 


11.5.3 ”网 络 正 常 财 的 广播 数据 


首先 通过 Sniffer Pro 提供 的 “仪表 盘 ” 一 “细节 ”来 查看 ， 以 下 分 别 是 广播 包 合计 统 
计 〈 如 图 11.31 所 示 )、 广 播 包 平均 数 统计 图 (如 图 11.32 所 示 )。 


他 Show Total ( Show Average Rate per second ) 


0 

0 
广播 8|128-255 字 节 0| 太 大 的 0 
了 0 236.511 本 0 
gd 742 |s12.1023 字 节 0 | ebbers 0 
利用 0 |1024-1518 字 节 ol 以 列 0 
错误 0 Colisions 0 
标准 尺 细节 


图 11.32 广播 包 平 均 数 统计 图 


说 明 : 

(1) 由 于 之 前 定义 好 了 过 滤器 ， 因 此 现在 所 统计 的 数据 均 为 广播 数据 。 

(2) 在 仪表 盘 详细 统计 界面 ， 除 了 统计 网 络 相关 数据 外 ， 还 对 数据 包 大 小 分 布 、 错 误 
数据 包 进 行 详细 的 分 类 ， 以 供 查看 。 

(3) 错误 数据 包 捕 获 和 查看 需要 专用 网 卡 的 支持 。 

(4) 图 11.31 为 截止 当前 时 间 ， 广 播 数据 包 合 计 为 189 个 。 

(5) 图 11.32 中 显示 当前 每 秒 平均 广播 数据 包 个 数 为 8 个。 


11.5.4 出现 广播 风暴 时 仪表 盘 变 化 


路 ”出 现时 就 会 形成 “广播 风暴 ”。 


下 面 来 看 图 11.33 所 示 拓 扑 的 情况 ， 当 虚线 的 网 线 连接 时 就 会 形成 网 络 环 路 ， 在 “ 环 


接 入 交换 机 组 


图 11.33 ”网 络 环 路 拓扑 图 


注意 : 如 图 11.34 所 示 , 平均 广播 数据 包 / 秒 的 统计 由 刚才 的 8 猛 增 为 2568， 广 播 数据 
包 中 的 字 节 数 也 由 742 字 节 增长 为 255 742 字 节 ， 带宽 占用 提高 了 1000 倍 ， 已 经 影响 了 网 


络 的 正常 运行 ， 应 及 时 查找 数据 包 的 来 源 并 排除 故障 。 


图 11.34 网 络 流量 统计 


11.5.5 通过 Sniffer Pro 提供 的 警告 日 志 系 统 查 看 “广播 风暴 ” 


图 11.35 所 示 为 Sniffer Pro 在 “广播 风暴 ”时 的 警告 日 志 。 可 以 通过 选择 “监视 器 ”一 
“警告 日 志 ”命令 查看 。 软 件 默 认 Broadcasts 每 秒 2000， 超 过 设 定 的 阔 值 软件 会 报警 。 


11.5.6 警告 日 志 系 统 修改 


警告 日 志 系统 默认 阔 值 都 可 以 修改 ， 选 择 “ 工 具 ”-“ 选 项 ”命令 ， 然 后 选择 “MAC 
阅 ” 选项 卡 即 可 ， 如 图 11.36 所 示 。 软 件 提供 了 20 个 可 以 修改 的 项 目 ， 如 果 觉 得 利用 率 在 


现 有 网 络 上 50% 显 得 太 小 ， 可 以 将 其 更 改 为 80% (快速 以 太 网 
而 广播 2000b/s 的 数值 又 显得 太 大 ， 都 可 以 在 这 里 做 出 更 改 。 


般 利 用 率 不 超过 80%)。 


菇 恰 ] Sniffer 歼 侨 内 代 用 


地 会 唱 
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FE 
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图 11.35 警告 日 志 系统 
选项 ?| x| 
普通 。 MC 周 | 应 用 央 | 警报 | 协议 “| 协议 强度 | 
[| 


重 置 B) 


| 


上 目 目 目 目 目 


图 11.36 修改 阔 值 


除了 可 以 修改 默认 阔 值 外 ， 在 系统 出 现 警告 时 可 以 选择 通知 方式 ， 甚 至 可 以 使 用 VB 
程序 自 定 义 动 作 来 打开 第 三 方程 序 。 如 设置 告警 音 ， 或 者 通过 发 送 电 子 邮 件 等 方式 通知 网 
络 管理 员 。Sniffer Pro 将 警告 日 志 划分 为 不 同 级 别 : 严重 、 重 要 、 次 要 、 和 警告 、 通 知 。 可 
以 在 Alarm 选项 卡 里 做 出 调整 。 


11.6 ”使 用 Sniffer Pro 获取 FTP 的 账号 和 密码 


使 用 Sniffer Pro 程序 的 数据 包 分 析 功 能 可 以 方便 、 迅 速 的 帮助 定位 FTP 的 账号 和 密码 。 
由 于 FTP 的 账号 和 密码 是 以 明文 的 形式 在 网 络 中 传输 的 ， 因 此 可 以 直接 查询 到 结果 。 

(1) 选择 菜单 栏 中 的 “监视 器 ”一 “定义 过 滤器 ”命令 ， 定 义 需 要 的 过 滤器 。 在 弹出 
的 “定义 过 滤器 ”对 话 框 中 ， 单 击 “ 配 置 文件 ”按钮 ， 然 后 单 击 “ 新 建 ” 按 钮 新 建 一 个 过 
滤器 ， 在 这 里 取 名 为 FTP， 如 图 11.37 所 示 。 选 择 “高 级 ”选项 卡 中 卫 协议 下 面 TCP 协议 
下 的 FTP 协议 作为 监控 。 

(2) 单 击 捕获 面板 上 的 “开始 ”按钮 进行 捕获 ， 这 时 用 客户 端 进行 FTP 的 登录 ， 如 
图 11.38 所 示 , 选择 使 用 用 户 名 为 bob， 密码 为 123 的 用 户 登 录 。 登 录 成功 后 就 可 以 停止 捕 
获 卫 % 


四 转 sp:rrirz. 30.37.zso/ 


定义 过 涛 器 - 医 视 器 Ei 
捕 要 | 地 址 “| 数据 模式 高 氏 | 纺 中 


服务 器 不 亿 许 匿名 营 录 ,或 者 不 接受 该 电子 邮件 地 址 。 


IP 服务 器 : 172.30.37.250 
A 用 PSW: [om ” ” 图 
更 码 D: C2 要 


时 录 后 ,可 以 格 这 个 服务 器 寺 加 到 悠 的 收 毫 夫 ,以 便 轻 易 返 回 。 


ITP 加 密 或 编码 密码 或 数据 。 和 要 保护 密码 和 数 
办 2 


Learn aore sbout asiag Web Folders 
口 匿名 登录 邮 ) 口 保存 客 码 @) 


图 11.37 新 建 一 个 过 滤器 图 11.38 登录 FTP 服务 器 


(3) 打开 捕获 的 数据 ， 在 左下 角 的 标签 上 选择 解码 ， 并 在 显示 的 数据 上 面 单 击 鼠标 右 
键 ， 在 弹出 的 快捷 菜单 中 选择 “查找 帧 ”命令 ， 如 图 11.39 所 示 。 


220 《B1B1BEi 
33 USER anonync 
B3 331 Passworc 
B33 PASS IEUser( 


保 闻 已 选择 
选择 范围 .. 


Source port 
TCP: Destination port eR 
TCP: Initial sequence nu 显示 设置 


TCP: Next expected Seq mn 状 尖 当前 的 要 
TCP: Data offset 2 


图 11.39 查找 帧 


(4) 在 弹出 的 “查找 帧 ”对 话 框 中 的 “搜寻 文本 ”下 拉 列 表 框 中 输入 USER， 并 选择 
“摘要 文本 ” 单 选 按钮 ， 如 图 11.40 所 示 。 


本 > 
文本 | 数据 | 状态 | 专家 | 
搜寻 文本 


个 数据 Hex 全 
克 对 应 大 小 写 
搜寻 方向 : 个 向 上 人 向 f 的 


了 
图 11.40 在 对 话 框 中 输入 USER 


(5) 如 果 搜 索 到 了 匹配 的 结果 就 会 看 到 图 11.41 所 示 的 USER bob 和 PASS 123。 
通过 以 上 几 步 就 可 以 搜索 到 网 上 发 布 的 所 有 明文 的 用 户 名 和 密码 ， 对 于 加 密 的 数据 虽 


颁 哈 1 Sniffer 条 伴 挡 分 局 


地 全 于 


网 经 区 会 与 兴 理 ( 


邸 二 旋 ) 


然 能 够 捕获 到 ， 但 会 


显示 成 乱码 ， 所 以 有 效 地 保护 了 数据 的 安全 性 。 


oooolE| 


a 


Len 

D=21 S=2434 ACK=828250020 WIN=14600|60 

FIP: BR PORT=2434 220-Microsoft FTP Service|81 

' ACK=828250047 WIN=14573|60 
RPO 


RT 2434 220 <B1B1BEA3BBB6D3ADC4E3 20 


R PORT=2434 331 Passvord required for 86 
C PORT=2434 PASS 123 
230-<BAC3BAC3> 


3 230 Use ser bob log: 
139]| [172-30.37.250]|FTP: C PORT=2434 Text Data 
25nllr172_3n_37_1391|FTP- R PORT=2434 SN MntiMn nnt sunnnrted |RN 


Bd 
者 


图 11.41 FIP 的 用 户 名 和 密码 


在 网 络 出 现 故 障 时 ， 有 经 验 的 网 络 管理 员 通 常 都 能 够 迅速 发 现 故 障 并 加 以 排除 。 但 是 
在 网 络 日 益 发 展 的 今天 ， 网 络 应 用 、 规 模 、 手 段 都 在 急速 膨胀 ， 仅 仅 依靠 对 环境 的 了 解 和 
经 验 显然 是 不 够 的 。 因 此 ， 使 用 Sniffer Pro 程序 来 处 理 各 类 网 络 问题 不 失 为 一 种 快速 有 效 


的 手段 。 


上 mm 间 王 


. Sniffer Pro 对 于 网 络 管理 员 在 日 常 网 络 维护 上 有 什么 好 处 ? 

. 选择 什么 样 的 安装 位 置 有 助 于 Sniffer Pro 获得 更 加 有 用 的 数据 ? 
。 对 于 加 密 数 据 Sniffer Pro 还 有 没有 作用 ? 

。 Sniffer Pro 和 


监控 的 协议 中 ， 数 据 量 比较 大 的 是 哪些 ? 


第 12 章 实验 2 网 路 岗 软件 的 应 用 


12.1 实验 目的 及 要 求 


12.1.1 实验 目的 

通过 实验 操作 掌握 网 路 岗 软 件 的 安装 与 基本 功能 使 用 ， 对 于 监控 软件 的 原理 具有 一 定 
的 了 解 。 能 够 实现 常用 的 监控 功能 。 
12.1.2 ”实验 要 求 

根据 教材 中 介绍 的 网 路 岗 软件 的 功能 和 步骤 来 完成 实验 ， 在 掌握 基本 功能 的 基础 上 ， 
实现 日 常 监控 应 用 ， 给 出 实验 操作 报告 。 
12.1.3 ”实验 设备 及 软件 

两 台 安 装 Windows 2000/XP 操作 系统 的 计算 机 , 磁盘 格式 配置 为 NTFS， 局 域 网 环境 、 
ccproxy 代理 服务 器 、 准 备 网 路 岗 软件 。 
12.1.4 ”实验 拓扑 

实验 用 的 拓扑 结构 如 图 12.1 所 示 。 


交换 机 


图 12.1 实验 拓扑 


风疹 人 委 会 与 合理 ( 谎 二 把 ) 


12.2 ”软件 的 安装 
12.2.1 系统 要 求 


操作 系统 : Windows XP/2000/2003。 

CPU: Pentium 4 或 赛 扬 12.0GB 以 上 。 

硬盘 空间 : 建议 硬盘 空闲 空间 不 低 于 10GB。 

监控 机 器 越 多 ， 网 络 流量 越 大 ， 需 要 的 配置 越 高 。 根 据 以 往 的 经 验 ，P4 以 上 配置 的 
PC 上 运行 网 路 岗 ， 监 控 的 在 线 机 器 可 达 500 台 以 上 。 

打开 安装 光盘 , 运行 安装 主 监控 程序 Sentry5Corp.exe (企业 ) 或 Sentry5School.exe (学 
校 )， 主 程序 安装 完毕 后 ， 如 果 是 第 一 次 在 本 机 上 安装 “网 路 岗 ” 产 品 ， 还 需要 安装 光盘 中 
网 路 岗 驱 动 程序 SentryDrv.exe。 


12.2.2 重要 子 目 录 


下 面 介 绍 安装 目录 下 儿 个 重要 的 子 日 录 。 

ETC\ 子 目录 存放 与 系统 有 关 的 所 有 配置 文件 ， 如 PcInfo.map 是 “基于 网 卡 ” 网 络 监 
控 模 式 的 用 户 信息 ，UserImfo.map 是 “基于 账户 ”网 络 监控 模式 的 用 户 信 息 ，IpInfo.map 
是 “基于 IP” 网 络 监控 模式 的 用 户 信息 。ShareArea.map 存放 的 是 系统 配置 数据 。 

如 果 用 户 想 备份 系统 配置 ， 只 需要 备份 ETC 的 所 有 文件 即 可 。 

CapLo&\ 是 系统 默认 的 用 来 存放 监控 日 志 的 目录 该 日 志 存 放 目 录 可 由 用 户 自 定义 )。 

CapLog\Activities\ 存 放 的 是 网 络 活动 日 志 。 

CapLog\WebFiles\ 存 放 的 是 外 发 资料 日 志 。 


12.2.3 绑 定 网 卡 


所 谓 绑 定 网 卡 ， 也 就 是 选择 从 哪 抉 网 卡 抓 通信 包 。 如 果 安 装 本 产品 的 计算 机 有 多 抉 网 
卡 ， 那 么 用 户 选择 时 需 小 心 ,一 旦 选 错 网 卡 ，“ 网 路 岗 ” 不 但 监视 不 了 任何 信息 ， 同 时 也 不 
能 对 目标 机 器 进行 任何 控制 。 选 择 网 卡 如 


图 12.2 所 示 。 me] |B | mor reo or 000107 

选择 网 卡 时 ， 用 户 应 选择 内 网 段 的 网 潍 控 模式 : 区 于 二 是 EN EE 
卡 ， 而 不 能 选择 接 入 Intemet 的 网 卡 。 出 现 回放 路 监控 口才 路 此 控 ( 代 理 上 网 /网 析 / 罗 路 由 / 庶 执 网 析 等 ) 入 有 
多 块 内 网 网 卡 时 , 可 能 需要 用 户 逐 块 选择 并 图 122 网 卡 选择 界面 


在 “现场 观察 ”窗口 测试 监控 效果 。 

缺 省 情况 下 ， 系 统 获 取 通 信 数 据 包 的 网 卡 和 发 送 封 堵 包 的 网 卡 是 同一 块 ， 但 用 户 可 以 
通过 设置 信息 过 滤 网 卡 ， 以 便 系统 通过 另外 一 块 网 卡 来 发 送 封 堵 包 以 控制 目标 机 器 。 

有 一 种 情况 ， 用 户 必须 启用 信息 过 滤 专 用 网 卡 。 当 用 户 设置 “镜像 端口 ”来 实现 对 数 
据 包 监视 后 ， 发 现 不 能 和 局 域 网 其 他 机 器 进行 通信 (假定 该 机 器 IP/ 网 关 配 置 正确 )， 也 就 
是 说 所 设置 的 “镜像 端口 ”只 能 接收 通信 和 包 ， 而 不 能 发 送 数 据 包 ,“ 镜 像 端口 ”是 单 向 的 。 
针对 这 类 情况 ， 建 议 用 户 再 添加 一 块 网 卡 ， 作 为 “网 路 岗 ” 的 信息 过 滤 专 用 网 卡 。 

“信息 过 滤 网 卡 ”在 图 12.3 所 示 “ 高 级 设置 ”对 话 框 中 配置 ， 配 置 时 用 户 必须 注意 : 
信息 过 滤 网 卡 、 镜 像 端 口 和 被 镜像 端口 必须 在 同一 交换 机 的 同一 VLAN 中 。 


网 卡 


信息 过 源 专 用 网 卡 


缺 省 为 :none ) 


特别 提示 
只 有 当 用 户 设置 “镜像 端口 ”的 情况 下 , 才 考 虑 该 选项 。 


在 以 往 的 软件 版 本 中 ， 用 以 “捕捉 信息 
“信息 过 洲 的 | 不 属于 向 一 块 


A 


信息 季风 系 


的 网 卡 和 实现 


提 信 息 包 网 卡 ” 由” 的 分 


目前 市 面 上 绝 大 多 : 


I 


到 | 信 ， 


届 于 入 下 


a 


“被 镜像 口 ”“ 镜 像 口 ”“ 过 滤 专 用 网 不” 应 


图 12.3 信息 过 滤 网 卡 设置 


12.3 ”选择 


网 络 监控 模式 


网 路 岗 提 供 了 多 种 网 络 监控 模式 : 基于 网 卡 /基于 账户 /基于 人 P, 一 般 建 议 监控 点 在 500 
控 模 式 。 用 户 测试 监控 效果 时 不 要 急于 对 被 监控 机 器 
进行 封 堵 ， 建 议 打开 “现场 观察 ”窗口 ， 先 观察 能 和 否 实 时 监控 到 目标 机 器 上 网 站 页 面 的 情况 。 


台 以 下 的 情况 选择 基于 网 卡 的 网 络 监 


12.3.1 启动 监控 服务 
进入 “服务 ”栏目 ， 启 动 所 有 的 后 


外 发 资料 
* 已 局 动 * 


12.3.2 ”检查 授权 状态 


i 台 监控 服务 〈 双 击 要 启动 服务 的 图 标 )， 如 图 12.4 


此 
数据 变换 
* 已 局 动 * 


图 12.4 服务 栏目 


如 果 有 “网 路 岗 ” 并 口 加 密 狗 ， 则 接 到 打印 机 并 口 〈 同 一 并 口 不 能 级 联 多 个 加 密 狗 )。 
如 果 监 控 机 上 原来 有 打印 连 线 ， 则 需要 取 下 连 线 ， 等 接 好 加 密 狗 后 ， 再 将 打印 机 线 接 到 加 
密 狗 上 。 如 果 有 “网 路 岗 ”USB 加 密 狗 ， 则 在 已 经 安装 软件 后 再 将 其 接 入 USB 插 档 ， 单 
击 “ 继 续 安 装 ” 按 钮 ， 则 USB 加 密 狗 驱动 程序 自动 成 功 安 装 。 
注意 : 插入 USB 加 密 狗 前 ， 请 先 运行 本 产品 的 安装 程序 。 如 果 先 插入 USB 加 密 狗 ， 


再 安装 网 路 岗 ， 可 能 导致 无 法 获取 加 密 狗 授权 信息 。 


菇 丛 2 网 登入 委任 和 抄 应 习 


风疹 人 委 会 与 合理 ( 谎 二 把 ) 


如 果 用 户 有 产品 序列 号 , 也 可 以 通过 注册 序列 号 来 获得 授权 。 注 册 界面 如 图 12.5 所 示 。 


用 注册 码 注册 时 , 务必 不 要 在 多 台 机 器 上 同时 用 
一 个 号 码 注册 。 如 果 用 户 要 更 换 机 器 注册 时 ， 必 须 在 
原来 的 机 器 上 “取消 本 地 注册 码 ”， 再 在 新 的 机 器 上 QQ 
注册 。 最 后 ， 选 择 “ 帮 助 ” 一 “产品 信息 ”命令 ， 检 [ER 
查 授 权 的 用 户 数 和 授权 状态 。 » 


:koneLee 


12.3.3 ”检查 目标 机 器 的 监控 状态 


选择 项 目 “ 监 控 策 略 ” 一 “基于 网 卡 ”， 先 看 看 
是 否 有 机 器 信息 ， 如 果 没 有 ， 用 “搜索 邻居 ”功能 试 
着 搜索 。 每 台 机 器 的 前 面 可 能 有 下 面 的 小 图 标 ， 用 鼠 图 12.5 注册 界面 
标 直 接 单 击 小 图 标 ， 其 状态 可 循环 改变 ， 如 图 12.6 所 示 。 

其 中 饮 表示 该 机 器 被 监控 ， 辆 表示 该 机 器 不 被 监控 ， 名 表示 该 机 器 不 被 监控 ， 但 也 
不 允许 上 网 。 计 算 监 控 点 时 ， 以 状态 售 为 一 监控 点 ， 超 过 用 户 购买 的 监控 点 时 系统 自动 将 
多 余 的 机 器 标记 为 状态 匡 。 如 果 被 测试 的 机 器 是 代理 服务 器 ， 则 应 该 选择 其 他 机 器 测试 。 


12.3.4 ”检查 被 监控 的 机 器 上 网 情况 


选择 “文件 ”一 “现场 观察 ”命令 ， 在 确保 被 测试 的 机 器 处 于 锐 状 态 后 ， 让 该 机 器 登 
录 网 站 ， 如 www.baidu.com 等 ， 并 留意 “现场 观察 ”窗口 中 是 否 有 对 应 的 信息 。 如 果 该 窗 
口中 能 正确 显示 目标 机 器 的 上 网 情况 ， 那 么 说 明 对 该 机 器 的 监控 是 正常 的 ， 也 说 明 对 该 机 
器 的 封 堵 将 起 作用 。 


12.3.5 ”封锁 目标 机 器 上 网 

选中 被 测试 的 机 器 ， 进 入 “ 封 堵 端 口 ” 子 栏目 ， 在 80 端口 上 打 勾 〈 注 : 如 果 用 户 网 
络 采用 代理 上 网 ， 则 上 网 端口 可 能 不 是 80， 需 要 用 户 单 击 “添加 ”按钮 选择 新 的 端口 并 打 
勾 )， 封 锁 时 间 段 全 绿 ， 单 击 “ 更 新 规则 =>ET” 按 钮 ， 最 后 单 击 “保存 设置 ”按钮 使 设置 
生效 ， 如 图 12.7 所 示 。 


画作 辽源 开 过 小 | 妈 堵 党 口 | 外 发 尺寸 ] 限制 流量 | 久 定 二 司 


加 生产 部 


个 加 zhangbing [IP:192. 168.0.252] [MAC:000AEB4E2ED6] 目 = 启用 本 选项 的 时 间 段 单位 : 半 小 时 ) 
-全国 Sunfan [IP:192. 168.0.18] [MWAC:000039D2AIF3] 

(全国 DEE-WANG [IF:192. 168.0.222] [MAC:000D8715ES73] 口 避 开 放 库 中 指定 的 端口 晖 燕 基地 所 有 端口 ) 

山 轴 ET [IP:192. 168.0. 16] [MAC:00E018D3C239] NETCWDB\OpenPortl. tt 司 EF 


全国 JOLIN [IP:192. 168.0.6] [MAC:000AESF0257D] 
全 昌 SERVER [IF:192. 168.0. 1] [MAC: 000AEB21E819] 
翁 恒 cDmY [IF:192 188.0.77] [NAC:000AESEDAB29] 轩 = 启用 本 选项 的 时 间 段 (单位 : 半 小 时 ) 
COMM-SER [IP:192. 168.0. 13] [WAC:000AE6F025TA] 更 新 规则 =>ET 

更 新 规则 -> 癌 组 “Hew Folder” 属 下 的 所 有 机 器 


图 12.6 检查 目标 机 器 的 监控 状态 图 12.7 封 堵 端 口 


设置 完毕 后 ， 再 次 让 被 测试 的 机 器 上 网 ， 并 检查 “现场 观察 ”窗口 下 半 部 分 的 记录 
显示 。 


通过 上 述 几 个 步骤 的 测试 ， 可 以 有 效 地 检测 出 产品 安装 是 否 成 功 。 
12.4 各 种 网 络 监控 模式 


12.4.1 基于 网 卡 的 网 络 监控 模式 
(1) 基于 网 卡 监控 的 含义 。 
基于 网 卡 监控 就 是 以 网 卡 MAC 为 依据 ， 根 据 网 卡 MAC 地 址 确定 被 监控 的 信息 内 容 
的 身份 。 由 于 每 台 机 器 的 网 卡 MAC 相对 固定 ， 用 户 不 易 修 改 ， 因 此 建议 将 该 网 络 监控 模 
式 列 为 首选 。 
在 这 种 网 络 监控 模式 下 ， 用 户 更 换 新 的 网 卡 后 ,“ 网 路 岗 ” 会 重新 检测 到 新 的 MAC， 
因此 ， 新 网 卡 将 被 当 作 新 加 入 的 机 器 来 处 理 ， 在 此 提醒 用 户 注意 。 
(2) 基于 网 卡 的 网 络 监 控 模式 的 实施 。 
Q@ 选择 网 络 监控 模式 ， 如 图 12.8 所 示 。 
点 控 模式 
当前 监控 模式 : ”|1、 基 于 网 卡 IMAC v 


ell 


图 12.8 网 络 监控 模式 
@ 设置 监控 对 象 ， 如 图 12.9 所 示 。 包 括 如 下 几 方 面 功能 : 


[IP:192. 168.0.1] [MAC:000AEB21E819] 
砚 晶 ATLEE [IP:192. 168.0.6] [HAC:000AEBF0257D] CO 
例 蝎 陈 文 癸 [IP:192. 168. 0. 13] [MAC:000AE6F0257A] 


12.9 设置 监控 对 象 


菇 丛 2 网 登入 委任 和 抄 应 局 


砚 稳 作 会 与 营 理 ( 务 二 族 )) 


。 搜索 邻居 : 自动 探测 指定 卫 范围 内 的 机 器 信息 (IP 地 址 /网 卡 MAC )。 

。 新 组 : 创建 新 的 群 组 ， 以 便 对 目标 机 器 进行 分 组 管理 。 

。 转移 : 将 选中 的 机 器 转移 到 其 他 部 门 ,用 户 也 可 以 直接 用 鼠标 将 目标 机 器 从 一 个 部 
门 拖 到 另外 一 个 部 门 。 

。 编辑 : 改变 某 一 选中 机 器 的 机 器 名 称 或 改变 群 组 名 称 。 

。 删除 : 删除 选中 的 一 个 或 多 个 目标 ， 也 可 用 来 删除 空 的 群 组 。 

。 查找 : 如 果 目 标 机 器 太 多 ， 可 以 用 此 功能 来 找 出 要 找 的 机 器 。 

。 解析 : 当 新 机 器 被 加 入 时 ,机 器 名 默认 为 其 他 地 址 ， 如 想 将 他 地 址 转变 成 机 器 名 ， 
可 使 用 此 功能 。 

。 导出 : 将 目标 机 器 的 信息 及 其 对 应 的 规则 配置 导出 到 自 定义 的 文件 中 。 

。 导入 : 将 “导出 ”的 机 器 及 规则 配置 信息 从 指定 的 文件 加 入 到 当前 机 器 列表 中 。 

。 保存 设置 : 保存 用 户 对 “目标 机 器 信息 / 群 组 信息 /上 网 规则 ”等 信息 的 改动 。 

。 < 改变 目标 机 器 的 排序 方式 >: 单 击 “ 搜 索 邻 居 ” 上 方 的 三 个 Option 圆 按钮 ， 可 分 
别 以 “机 器 名 /人 P 地 址 /MAC” 的 排序 方式 显示 目标 机 器 。 

。 < 单 选 /多 选 >: 单 击 目标 机 器 ， 以 选择 单一 目标 ; 按 下 鼠标 左 键 并 拉动 ， 以 多 选 目 
标 ， 也 可 用 鼠标 左 键 配合 ShifyCtrl 键 进行 选择 。 

。 < 双击 目标 机 器 >: 双击 目标 机 器 后 将 弹出 编辑 窗口 。 

。 < 更 改 目标 机 器 监控 状态 >: 在 目标 机 器 的 状态 小 

Ee 图 标 上 单 击 ， 可 改变 其 监控 状态 。 

辆 含义 : 不 监控 任何 信息 

[七 合 义 : 全面 由 控 如 果 图 12.10 左边 部 分 为 空 ， 则 需要 先 启动 监控 服 

| 含 多 :不 归 控 ， 但 禁止 其 上 网 务 ， 选 择 绑 定 正确 的 网 卡 ， 然 后 单 击 “ 搜 索 邻 居 ” 按 钮 ， 

输入 正确 的 他 范围 ， 开 始 搜索 。 

即使 不 用 “搜索 邻居 ”的 功能 ， 如 果 有 机 器 上 网 ， 
新 发 现 的 机 器 同样 可 以 自动 加 入 。 每 一 目标 机 器 都 有 相 
应 的 目录 , 缺 省 情况 下 新 机 器 都 放 入 目录 New Folder 中 。 


[ED 如 图 12.10 右边 部 分 所 示 , 用 户 可 以 设置 针对 新 发 现 
机 器 的 处 理 方法 和 缺 省 状态 。 需 要 统计 所 有 目标 机 器 的 
图 12.10 保存 设置 状态 , 则 单 击 “ 保 存 设置 "按钮 , 出 现 图 12.10 所 示 界面 。 


12.4.2 基于 IP 的 网 络 监 控 模 式 


(1) 基于 卫 监控 的 含义 。 

基于 卫 监控 就 是 以 IP 地 址 为 依据 ， 并 以 此 他 来 确定 所 监控 信息 的 身份 。 一 个 大 的 网 
络 ， 如 大 学 校园 网 ， 管 理 人 员 通 常 希望 装 一 套 网 路 岗 来 解决 问题 ， 尽 管 该 网 的 机 器 有 数 千 
台 甚 至 数 万 台 ， 且 划分 的 多 级 VLAN 多 达 数 十 上 百 个 。 尽 管 基于 网 卡 的 网 络 监控 模式 可 以 
跨 VLAN 监控 ， 但 在 基于 网 卡 的 网 络 监控 模式 下 ， 当 计算 机 数量 太 多 ， 如 超过 1000 台 ， 
那么 系统 会 花费 较 多 的 资源 来 探测 其 他 VLAN 下 的 目标 机 器 也 和 MAC 地 址 对 应 情况 , 最 
终 导致 监控 效率 降低 。 而 基于 卫 监控 的 方式 下 ， 用 户 可 定义 一 个 IP 范围 段 来 作为 一 个 管 
理 对 象 。 目 前 ， 网 路 岗 的 客户 如 果 监 控 点 超过 1000， 大 多 采用 这 种 网 络 监控 模式 。 


(2) 基于 了 P 网 络 监控 模式 的 实施 。 
@ 选择 基于 IP 的 网 络 监控 模式 ， 如 图 12.11 所 示 。 
@ 设置 监控 对 象 ， 如 图 12.12 所 示 。 
除了 “手动 添加 ”之 外 ，< 监 控 对 象 图 > 。 当前 站 模式 : [到 苦于 下 
与 基于 MAC 地 址 的 网 络 监控 模式 基本 相同 。 
“手动 添加 ”是 指 用 户 手 工 加 入 新 的 人 P 图 12.11 ”基于 了 P 的 网 络 监控 模式 
地 址 或 某 一 他 范围。 如果 用 户 希望 成 批 加 入 
IP 地 址 ， 那 么 可 以 先 创建 范围 ， 然 后 选中 “拆散 范围 IP” 复 选 框 ， 如 图 12.13 所 示 。 


| 区 生产 部 三 
人 2 加 [192.168.0.1] 一 秘 = 筷 
食 国 [192.168.0.12] 
仿 昌 [192. 165.0.147] 搜索 邻居 
俩 轧 [192. 168.0.154] Ea 
人 J 辕 [192. 168.0.200 -> 192. 168.0.254] 手动 添加 | 单个 IF | 范围 IF 
便 轩 [192. 168.0.6] 
BE [用 400.0 7] Mag wg 和 er: [iaz 168 0 1 | 
肌 除 上 转移 
鹃 市场 部 2 结束 ITP: | 192 .168 . 0 .Sol 
EE 志 放 
导入 Sd 


图 12.12 设置 监控 对 象 图 12.13 添加 监控 对 象 


12.5 常见 系统 配置 


12.5.1 网 络 定义 
(1) 定义 内 部 网 段 ， 如 图 12.14 所 示 。 


起 始 IP 结束 IF 网 段 描述 
192. 168.1.1 192.168.1.255 
192.168.0.1 192. 168. 0. 255 


注 : 在 多 Wan 环境 下 ,在 此 定义 需 败 控 的 1p 范围 ， 医 加 加 ] 竺 得 外] 多 障 名 
图 12.14 定义 内 部 网 段 


只 有 出 现 多 网 段 /多 子 网 的 情况 才 需 要 定义 内 部 网 段 。 定义 网 段 时 , 一 般 要 求 用 户 定 义 
每 个 需要 监控 的 P 段 ， 但 是 ， 用 户 也 可 采用 简化 的 定义 方式 ， 如 输入 192.168.0.1 一 
192.168.1.255， 以 简化 图 12.14 中 的 输入 ， 这 样 只 需要 输入 一 次 。 

(2) 设置 代理 他 或 内 网 资源 ， 如 图 12.15 所 示 。 

如 果 用 户 采 用 非 透明 代理 服务 器 软件 实现 多 机 共享 上 网 ， 那 么 必须 在 该 处 输入 代理 服 
务 器 的 下 地 址 (内 网 他 范畴 )。 另 外 ， 如 果 网 内 有 邮件 服务 器 等 内 网 资源 ， 也 需要 在 上 面 


输入 其 卫 才能 监控 到 内 网 机 器 访问 内 网 资源 的 情况 。 
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非 透明 代理 服务 器 I 或 内 网 资源 
Tf 地 址 描述 
192. 168.0.1 CCProxy 


注 ; 如 果 局 域 网 安装 了 非 透 明代 理 服 务 器 软件 ， 则 。 - 
务必 在 此 输入 代理 服务 器 IF ,常见 的 非 逻 明代 理 服 务 器 ”| 添加 如 | 乱 辑 下 ) 莉 喀 EE) 
es Proxy/WinGate/WinRoute/CCProxy/ 亿 特 


[ 如 何 辨认 一 款 代理 软件 为 “ 非 透 明代 理 服 务 器 软件 ”? ] 


图 12.15 代理 他 或 内 网 资源 的 设置 


12.5.2 监控 项 目 


缺 省 情况 下 如 图 12.16 所 示 ， 所 有 列 出 的 项 目 都 处 于 被 监控 状态 ， 用 户 可 用 鼠标 单 击 
项 目 以 “取消 /选中 ”该 项 目 。 系 统 还 提供 了 “ 自 定义 项 目 ” 用 户 在 定义 项 目 时 必须 对 IP 
通信 有 所 了 解 ， 如 图 12.17 所 示 。 

。 项 目 名 称 : 用 以 标识 所 定义 的 项 目 。 

。 监控 描述 : 将 在 现场 观察 窗口 中 显示 并 保存 到 对 应 的 日 志文 件 中 。 

。 通信 类 型 : 提供 TCP 和 UDP 两 种 ， 以 后 的 版 本 中 将 增加 其 他 通信 类 型 。 


见 网 络 活动 监控 项 目 


访问 网 站 QTTP) 2 
发 送 邮 件 (SNTP)) | 
接受 邮件 (POP3) 

ICQ 绕 文 聊天 ) 

腾讯 aq (中 文 聊 天 ) 
异地 上 传 或 下 载 文件 FTP) 
登录 异地 电脑 (TELNET) 
文件 访问 与 操作 QETBIOS) 


Msn Nessenger 


到 
罗 国 国民 办 办 办 办 罗 | 牢 


| 大 | 


Yahon Wesseneor 


mi 
Ep Me 


图 12.16 ”监控 项 目 
项 目 定义 


项 目 名 称 : 
监控 描 述 : 


通讯 类 型 : ”人 @TC? O 〇 mp 


源 端口 : “| 任意 端口 Y 


目标 端口 : ”| 等 于 ~ 0 


图 12.17 自 定义 项 目 


。 源 端 口 : 发 出 通信 和 包 的 一 方 所 占用 的 端口 值 。 

。 目标 端口 : 接收 通信 方 所 使 用 的 端口 值 。 

如 果 系 统 检测 到 符合 上 述 条 件 的 通信 和 包 ， 将 在 现场 观察 窗口 中 显示 出 来 ， 并 记录 到 日 
志文 件 中 。 如 果 用 户 了 解 某 个 病毒 /游戏 /聊天 软件 的 通信 和 包 规 律 ， 端 口 比较 固定 ， 那 么 通 
过 自 定义 项 目 ， 以 让 网 路 岗 来 提醒 用 户 哪 台 机 器 做 了 什么 敏感 的 事情 。 


12.5.3 监控 时 间 


该 处 显示 的 监控 时 间 是 全 局 的 ， 在 非 监控 时 间 段 ， 监 控 服务 会 完全 不 做 任何 控制 ， 尽 
管 服务 还 处 于 运行 状态 。 


12.5.4 端口 配置 


监控 项 目 和 端口 是 息息相关 的 ， 系 统 是 通过 对 特定 端口 数据 的 分 析 来 实现 对 特定 项 目 
的 监控 。 每 一 个 项 目 可 同时 配置 三 个 端口 ， 如 某 网 络 有 一 天 也 许 同 时 有 80、8080、3128 
等 访问 网 站 端口 的 现象 出 现 ， 这 样 就 需要 配置 多 个 端口 。 

如 果 用 户 采 用 非 透明 代理 服务 器 软件 实现 共享 上 网 ， 且 代理 端口 并 非 80， 那 么 就 需要 
HTT?P 的 端口 80 后 面 再 增加 一 个 端口 值 。 


12.5.5 空闲 JP 


通常 网 络 管理 员 在 给 网 内 机 器 分 配 完 IP 后 发 现 ， 有 些 IP 范围 段 是 空闲 的 ， 短 期 内 用 
不 上 。 同 时 网 管 也 不 想 让 这 些 人 P 被 使 用 ， 那 么 利用 空闲 卫 防止 计算 机 卫 被 私下 更 改 就 非 
常 有 效 。 

12.5.6 深层 拦截 过 滤 


如 果 用 户 采用 的 是 “ 非 旁 路 ”的 监控 方式 ， 那 么 “深层 拦截 过 滤 ” 就 会 起 作用 。 
(1) 过 滤 时 间 安 排 。 如 图 12.18 所 示 ， 用 户 可 根据 需要 设置 过 滤 启 用 时 间 ， 该 时 间 是 
针对 所 有 过 滤 项 目的 总 体 控制 。 


口 星 期 天 ” 口 星 期 一 ” 口 星 期 二 口 星期 三 口 星 期 四 器 星 期 五 ” 口 星 期 六 


从 0 小 时 0 分 到 | 小 时 0 分 


口 全 天 时 间 (24 小 时 ) 


从 上 小 时 I0 分 到 | 小 时 0 分 


图 12.18 深层 拦截 过 滤 设 置 


(2) 过 滤 项 目 定义 。 以 过 滤 UDP 登录 方式 的 QQ 为 例 : 如 图 12.19 所 示 ， 这 里 设置 的 
Port 8000-8001 是 针对 每 条 通信 的 外 网 端口 的 。 其 他 通信 端口 的 过 滤 设 置 方式 类 似 。 

除了 上 述 过 滤 项 目 外 , 由 于 考虑 到 对 NAT 性 能 的 影响 , 系统 暂时 不 提供 过 多 的 过 滤 功 
能 设置 。 
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图 12.19 通信 端口 的 过 滤 设 置 


12.6 上 网 规则 


12.6.1 上 网 时 间 


如 图 12.20 所 示 ， 如 果 用 户 只 是 简单 地 控制 目标 机 器 的 上 网 行为 ， 在 这 里 设置 是 最 好 
的 。 图 12.20 中 深 色 显示 块 表示 人 允许， 白色 表示 禁止 。 用 鼠标 控制 选择 深 色 /白色 。 

只 有 在 白色 时 间 段 对 Web 端口 的 封 堵 选项 才 起 作用 。 在 黑色 时 间 段 是 不 是 就 一 定 可 以 
上 网 还 很 难说 ， 主 要 看 后 面 的 项 目 中 是 否 设置 了 封锁 ， 在 如 此 多 的 上 网 规则 中 ， 只 要 有 一 
处 封 堵 就 能 起 到 封 堵 的 作用 。 

如 果 用 outlook 收发 hotmail 邮件 , 图 12.20 中 的 选项 将 不 起 作用 ， 因 为 hotmail 邮件 并 
非 通过 收发 邮件 的 端口 110/25) 发 生 通信 ， 而 是 通过 HTTP 方式 。 


12.6.2 网 页 过 滤 


如 图 12.21 所 示 ， 网 页 过 滤 主 要 是 针对 地 址 URL 的 过 滤 ， 对 内 容 不 予 考虑 。 定 义 关 键 
词 的 时 候 ， 建 议 输入 最 具 代 表 性 的 词 。 针 对 google.com、baidu.com 和 3721 等 搜索 网 站 ， 
还 支持 对 中 文 关键 词 的 封 堵 。 

举例 说 明 : 

(1) 如 果 要 禁止 上 www.sina.com.cn 网 站 ， 则 输入 sina.com.cn 比较 合适 。 如 输入 
sina.com， 则 被 控 机 器 连同 www.sina.com 和 www.sina.com.cn 都 不 能 上 了 。 

(2) 在 禁止 网 站 列表 中 输入 “下 载 免费 音乐 ”， 以 防 被 控 机 器 在 搜索 网 站 上 以 该 关键 
词 来 搜索 。 

(3) 在 “只 允许 访问 列表 ”中 输入 sohu 可 让 用 户 只 能 上 www.sohu.com。 


| 下 阿 。[ 同 珊 过 沽 | 过 湖 库 | 上 网 反 饶 | 下载 控制 ] 邮件 过 关于 

00 02 04 06 08 10 12 14 16 18 20 22 24 
同日 MM 
同一 
同 = 


六 
轩 -= 允许 区 口 - 茶 上 区 ElEal 


[二 同 「 同 页 过 注 | 过 涛 库 | 上 网 反 镶 | 下 载 控制] 邮件 过 3 


过 涛 模式 < 一 > 
自 定义 禁止 网 站 (包括 搜索 关键 词 ) 


XKeyNordsl. txt Y 


国 = 启用 本 选项 的 时 间 段 (单位 : 半 小 时 ) 


在 “禁止 区 ”, 封锁 下 列 Yeb 庙 口 


[ao, 25, 110, 
注 : 最 多 可 设置 15 个 端口 ,端口 之 间 用 逗号 隔 开 。 


图 12.20 上 网 时 间 设 置 


12.6.3 过滤 库 


过 泥 模 式 过 > 
只 人 允许 访问 与 工作 学 习 有 关 的 网 站 
rosie 人 避 


MO 
国 = 启用 本 选项 的 时 间 段 (单位 : 半 小 时 ) 


图 12.21 网 页 过 滤 


如 图 12.22 所 示 ， 为 方便 用 户 控制 ,“ 网 路 岗 ” 收 集 了 几 类 网 站 列表 和 端口 库 供 选 择 。 
针对 列表 库 ， 用 户 可 进入 “列表 库 管理 工具 ”进行 添加 或 删除 操作 。 

“列表 库 管理 工具 ”是 专门 针对 网 站 列表 库 的 工具 ， 用 户 可 以 随意 添加 /删除 /查询 现 有 
的 列表 库 。 如 果 用 户 有 现成 的 列表 文本 文件 ， 则 可 以 导入 到 相应 已 打开 的 库 中 ， 那 些 被 成 
功 导入 的 网 站 将 被 显示 出 来 ， 通 过 “导入 ”与 “导出 ”功能 ， 用 户 之 间 可 以 轻松 交流 自己 


收集 的 网 址 。 
12.6.4 上 网 反馈 


如 图 12.23 所 示 ， 如 果 用 户 通 过 封 堵 端 口 的 方式 来 禁止 上 网 ， 则 上 述 功能 无 效 ， 必 须 


通过 关键 词 来 封锁 网 站 才 有 效 。 


[ 正 同 “二 同 页 过 源 ] 过 洲 库 | 上 网 反馈 下载 控制 | 邮件 过 国 轨 


过 小 模式 < 三 > 


过 小 列表 库 

口 不 良 网 站 列表 库 (包括 色情 、 暴 力 、 恐 怖 网 站 . 
口 财经 信息 网 站 列表 库 股票、 股市 行情 等 )。 
口 见 天 网 站 列表 库 。 


国 = 启用 本 选项 的 时 间 段 单位 : 半 小 时 ) 


口 禁止 以 TP 地 址 的 形式 访问 网 页 
图 12.22 ”过滤 库 


上 网 | 同 页 过 泌 | 过 源 库 ] 上 网 反 镀 | 下 载 控制 ] 收发 最 二 


封锁 机 器 上 网 的 方式 
加 反 饥 连接 出 错 信息 。 


口 反 馈 下 列 一 段 文字 : 


Fae: NN | 


加 转移 到 其 地 页 面 URL) : 


图 12.23 上 网 反馈 设置 


颁 哈 2 同 滞 向 禾 侨 失 顾 用 


风疹 颁 会 与 合理 ( 谎 二 族 ) 


如 图 12.23 中 的 默认 设置 所 示 ， 根 据 用 户 需求 ， 让 被 封锁 的 机 器 显示 更 明确 的 信息 。 
另外 , 如 果 目 标 机 器 上 了 某 个 敏感 网 站 , 通过 设置 也 可 以 让 其 跳 转 到 某 一 个 指定 的 页 面 ( 如 


企业 网 或 校园 网 )。 
12.6.$S 邮件 过 滤 


如 图 12.24 所 示 ， 邮 件 过 滤 并 非 严格 过 滤 ， 
这 是 因为 如 果 邮 件 内 容 太 少 ， 甚 至 没有 ， 那 么 
系统 检测 到 用 户 有 邮件 发 送 迹象 时 已 经 太 迟 ， 


网 页 过 涛 | 过 源 库 | 上 网 反馈 | 下 载 控制 | 邮件 过 涛 | 封 堵 二 六 


口 芭 允许 发 送 指定 的 目标 邮箱 
NETC\DB WorkEnail. txt [EE | 
对 发 送 的 邮件 标题 及 内 容 进行 过 源 
.AETCADBAXEmailWords. txt 打开 . 


该 邮件 可 能 已 经 发 送出 去 ， 再 去 堵截 就 没有 意 


义 了 。 尽 管 如 此 ， 针 对 稍 大 邮件 的 过 滤 还 是 有 
效 的 ， 尤 其 是 带 附件 的 邮件 。 
间 : 如 何 设置 “禁止 在 网 页 上 发 送 邮 件 ”? 


12.6.6 IP 过 波 全 六 


如 图 12.25 所 示 ， 卫 过 滤 是 针对 因特网 上 
各 类 资源 的 他 地 址 的 过 滤 ， 进 行 设置 时 需要 对 加 
IP 有 全 面 的 了 解 。 事 实 上， 全球 卫 地 址 的 分 配 [1 
是 有 一 定 规则 的 ， 相 关 知 识 可 在 网 上 搜索 到 ， Ca 0 
搜索 关键 词 用 “IP 地 址 分 配 ”。 利 用 这 些 规律 可 es 
以 设置 某 些 地 区 的 网 站 禁止 访问 。 某 些 大 型 网 
站 ， 如 Yahoo!、Sina 等 都 具有 很 多 的 了 P 地 址 ， 
因此 不 能 简单 通过 一 两 个 他 地 址 来 封锁 该 网 站 。 


12.6.7 封 堵 端口 


如 图 12.26 所 示 ， 任 何 一 款 网 络 软件 ， 如 果 它 建立 在 TCP/IP 通信 之 上 ， 都 会 用 到 “ 端 
口 ” 如 股票 软件 、FTP 软件 、 收 发 邮件 软件 等 都 具备 自己 的 开放 端口 。 因 此 , 通过 “端口 ” 
来 封锁 上 网 行为 是 非常 有 效 的 。 


| 过 小 库 | 上 网 反馈 | 下 载 控制 | 邮件 过 小 | IP 过 小 封 堵 访 地 寺 


口 只 能 通过 指定 的 企业 邮局 收发 邮件 (以 下 是 服务 器 IP) 
EO EE 


[ 
[ 
[ 


ollollollo 
ollollollo 


0 
0 
0 


lollollollo 


0 
器 


图 12.24 邮件 过 滤 


下 载 控制 | 收发 邮件 | 邮件 过 涛 | 王 过 涛 | 到 堵 沪 上 | 外 发 《 
封 堵 指定 端口 


IF 白 名 单 无 条 件 放行 IP, 如 病毒 升级 服务 器 ) 
日 


| METC\DB\OpenIp. txt 


口 自 定义 禁止 IT 


AETCADBAXIP1. txt | 


[EE 


Msn Messenger Ed 


om oz oo 08 10 12 14 16 18 20 22 24 
轩 = 启用 本 选项 的 时 间 段 单位: 半 小 时 ) 


目 = 启用 本 选项 的 时 间 段 (单位 : 半 小 时 ) 


奴 允 许 访问 下 面 指定 的 IP 


癌 充 开放 库 中 指定 的 端口 距 蔽 其 他 所 有 端口 ) 


[Acutet 加 [| 


| AETCADBAOnly0penTp1 txt 本 [Ff.] 


国 = 启用 本 选项 的 时 间 段 (单位 : 半 小 时 ) 轩 = 启用 本 选项 的 时 间 段 (单位 : 半 小 时 ) 


图 12.25 了 P 过 滤 设 置 图 12.26 封 堵 端 口 设置 


尽管 很 多 软件 的 端口 是 软件 开发 者 自 定义 的 ， 但 用 户 也 不 必 担 心软 件 改变 自身 的 “ 开 
放 端 口 ” 因为 “开放 端口 ” 一旦 改变 ， 该 软件 的 客户 端 也 必须 随 之 更 改 ， 从 市 场 角度 看 是 
不 现实 的 。 如 果 了 解 瑟 包 的 话 ， 用 户 可 利用 本 系统 提供 的 工具 “了 包 分 析 工 具 ” 来 分 析 
端口 。 


12.6.8 ”外 发 尺寸 


如 图 12.27 所 示 ， 这 里 对 外 发 尺寸 的 控制 是 一 种 模糊 控制 ， 并 不 能 精确 到 字 节 数 ， 而 
且 上 述 功能 只 有 在 用 户 购买 的 版 本 具备 邮件 内 容 的 监控 功能 时 才 起 作用 。 原 因 是 没有 内 容 
监控 的 话 ， 系 统 无 法 及 时 知道 外 发 文件 的 大 小 ， 也 就 不 能 在 中 途 进行 堵截 。 


| 封 堵 端 口 | 外 发 尺寸 | 限制 流量 | 绑 定 ITP | 监控 项 目 | 起 


口 限 制 外 发 邮件 大 小 ( 指 0utLook Foxmail 等 发 的 邮件 ) 
不 超过 0 K 字 节 
[“ 外 发 资料 ”监控 服务 启动 时 有 效 ] 


口 限制 TP 上 传 的 文件 大 小 
不 超过 上 下 字 节 
[“ 外 发 资料 ”监控 服务 启动 时 有 效 ] 


口 限 制 网 页 粘贴 的 文字 长 度 Qtttp-Post) 


不 超过 0 字 节 [ 注 :不 是 以 X 为 单位 ! ] 
了 
章 、 留 言 板 、HTTP 上 传 文件 等 等 。 


图 12.27 外 发 尺寸 设置 


12.6.9 限制 流量 


如 图 12.28 所 示 ， 本 软件 只 能 检测 到 上 网 带宽 数据 ， 而 不 能 实现 对 带宽 的 管理 和 分 配 。 
根据 需求 ， 提 供 了 对 流量 的 限制 功能 。 例 如 ， 限 制 某 台 机 器 每 天 只 能 有 多 少 兆 字 节 的 上 网 
流量 ， 超 过 这 个 数字 系统 会 自动 断 网 。 

如 图 12.28 所 示 的 累计 流量 是 动态 的 ， 便 于 用 户 及 时 观察 到 客户 端的 流量 。 如 用 户 规 
定 该 机 器 每 分 钟 的 流量 ， 则 每 隔 一 分 钟 累计 流量 就 会 自动 变 成 0。 

12.6.10 绑 定 IP 


如 图 12.29 所 示 ， 在 单 网 段 环境 且 是 基于 网 卡 的 网 络 监控 模式 下 ， 用 户 可 以 通过 绑 定 
IP 的 功能 来 防止 目标 机 器 私下 更 改 卫 上 网 。“ 了 改变 时 ， 记 录 其 变化 情况 ” 复 选 框 被 选中 
时 ， 该 网 卡 更 改正 地 址 后 会 详细 记录 其 更 改 情况 。 


菇 丛 2 网 登入 委任 抄 应 局 


怡 移 人 委 会 与 管理 ( 壤 -一 猎 ) 


| 封 堵 端口 | 外 发 尺寸 | 限制 流量 | 绑 定 IF | 监控 项 目 下 过 反 制 | 邮件 过 湾 | 封 堵 请 口 | 外 发 尺寸 | 于 革 训 | 。 风光 
限制 方式 机 器 绑 定 下 列 IF 地 址 
0 0 0 0 缺 省 
名 不 限制 a 中 py 站 
人 〇 限制 每 周 流量 0 0 0 0 
人 〇 限制 每 天 的 流量 
0 0 0 0 
人 〇 限制 每 小 时 的 流量 
下 ,一 个 NAC 只 对 应 一 个 
加 限制 每 刻 钟 的 流量 (15 分 钟 ) 了 eg 人 
人 〇 限制 每 分 钟 的 流量 外 
流量 镶 : 对 于 采用 动态 分 配 IF 地 址 的 机 器 不 建议 启用 IT? 绑 定 选 
规定 时 间 内 总 流量 不 超过 |0 K Bytes TTD 
当前 累计 流量 | 0 kK Bytes 口 Tz 改 变 时 , 记录 其 变化 情况 
图 12.28 ”限制 流量 设置 图 12.29 绑 定 王 设置 


12.6.11 监控 项 目 
如 图 12.30 所 示 ， 用 户 可 根据 需要 设置 目标 的 监控 内 容 。 如 果 用 户 购买 的 版 本 没有 邮 
件 内 容 监 控 或 没有 聊天 内 容 监 控 ， 则 图 12.30 中 “监控 聊天 内 容 ” 和 “监控 外 发 资料 内 容 
(附件 + 正文 )” 选 项 就 不 起 作用 。 如 果 用 户 只 是 想 过 滤 邮 件 正 文 而 不 记录 邮件 的 话 ， 则 可 
以 选择 “只 过 滤 发 送 邮件 的 内 容 ， 不 生成 邮件 日 志 ” 复 选 框 。 
[zr 对 泪 | 封 寺 请 口 | 外 发 尺寸 | 蔚 定 IP] 功能 项 目 | 《% 


选择 项 目 


回 监 控 常见 网 络 活动 
回 监控 聊天 内 容 


i 附件 + 正文 ) 
口 只 过 涛 发 送 邮件 的 内 容 ， 不 生成 邮件 日 志 


图 12.30 监控 项 目 设置 


12.7 “日 志 查阅 及 日 志 报表 


12.7.1 坦 阅 网 络 活动 日 志 
(1) 选择 目标 机 器 ， 如 图 12.31 所 示 。 选 中 “所 有 对 象 ” 复 选 枉 ， 查 询 日 志 的 时 候 是 


针对 所 有 机 器 ; 相反， 如 果 取 消 对 “所 有 对 象 ” 复 选 框 的 勾 选 ， 用 户 可 以 随意 双击 目标 机 
器 ， 以 显示 对 应 的 日 志 记录 。 粗 黑 显 示 的 机 器 表明 有 与 其 相关 的 日 志 记录 。 

图 12.31 显示 的 “机 器 /账户 /了 地 址 ”是 和 用 户 选择 的 网 络 监控 模式 直接 关联 的 ,查阅 
志 的 时 候 根据 选择 的 网 络 监控 模式 来 选择 “机 器 /账户 /TP 地址 ”。 


三 4 
器 | 帐户 TP 地 址 | 


网 刻 范 晓 访 [IP:192. 168.0. 18] [WAC:000039D2A1F3] 
义 陈 文 任 [IP:192. 168. 0. 13] [WAC:000AE6F0257A] 
人 mATLEE [IP:192.168.0.6] [mAC-:000AP6F0257D] 

部 EET [IF:192.168.0.1] [WAC:000AEB21E619] 

全 张 兴 东 [IP:192. 168.0. 252] [WAC:000AEB4E2ED8] 
部 王 海 东 [IP:192. 168.0. 16] [MAC:00E018D3C239] 

部 从 炳 [IP:192. 168.0. 16] [WAC:00E018D3C239] 


各 
到 
汶 
| 


图 12.31 目标 机 器 列表 


。 画 按钮 ， 刷 新 显示 目标 机 器 列表 。 
。 万 按钮 : 在 目标 机 器 列表 中 查找 所 要 找 的 目标 机 器 。 
(2) 选择 查询 范围 ， 如 图 12.32 所 示 。 


起 始 : |2003-12- 1 加 | 00 02 04 08 08 10 12 14 16 18 20 22 24 (单位 ) 
结束 : |2004- 2- 2 加 | 


http:/ /www. webmonit 
http://www. webmonit 
http://www. go0gle. com 
http://www. google. com 
http://www. go08le. com 
异地 上 传 或 下 载 ) 文 件 .0. http://oinsgad. tene. 
远程 登陆 Telnet 服 务 器 000AE6EDA629 Re YA msn. 
0. ttp: /fwww. google. com 
访问 好 人 电脑 共享 文件 Mt: /em Seobeo e 
MSN Nessenger .0. http://www. zscm. com 
http://www. raobao. ec 
http://www. raobao. c. 
http://www. loveoo. com 
http://www. loveoo. com 
http://www. loveoo. com 
http://www. loveoo. com 
http://friends. szon. 
-rooror - http://friends. szon 
192. 168.0. 147 http://friends. sron. 
192. 168. 0. 147 http://www. cjol. com 


Yahoo Messenger 


< 


~~~~~~~~~~~~~~~ 


图 12.32 ”选择 查询 范围 


。 范围 ， 单 击 后 弹出 快速 选择 日 期 范围 的 菜单 。 

。 刷新 : 更 改 范围 或 要 查 的 目标 机 器 后 ,重新 查找 并 
显示 对 应 的 日 志 记录 。 

。 国 : 将 显示 的 日 志 内 容 导出 。 

。 欧 : 查找 匹配 的 日 志 记录 条 目 。 

。 岛 : 打印 显示 的 日 志 内 容 。 

(3) 设置 显示 的 行 数 ， 如 图 12.33 所 示 。 

(4) 统计 日 志 。 

针对 访问 网 站 的 日 志和 收发 邮件 的 日 志 ， 提 供 简单 的 统计 功能 。 


图 12.33 显示 行 数 的 设置 
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风疹 颁 会 与 合理 ( 谎 二 把 ) 


12.7.2 查阅 外 发 资料 日 志 


(1) 选择 目标 机 器 ， 如 图 12.34 所 示 。 图 12.34 显示 的 “机 器 /用 户 / 下 ”是 和 用 户 选择 
的 网 络 监控 模式 直接 关联 的 ， 查 阅 日 志 的 时 候 根据 选择 的 网 络 监 控 模 式 来 选择 “机 器 /用 户 
/IP 地 址 ”。 机 器 后 面 的 数字 直接 表明 了 该 机 器 的 日 志 数 量 。 

(2) 显示 日 志 内 容 ， 如 图 12.35 所 示 。 

。 日 : 是 否 存在 附件 。 

。 鸣 : 该 邮件 可 直接 用 Microsoft Outlook 打开 。 如 果 用 户 发 现 图 12.35 下 半 部 分 显示 

乱码 ， 建 议 用 Outlook 打开 。 

1: 单 击 后 可 显示 附件 。 


二 
[EE 下 主题 时 间 发 送 本 邮件 的 软件 名 称 人 
192 166.0 18 Best Casino Myard .. 2004-01-12 13-21;02 ADL 7.0 for Windows 
192. 168.0. 18 网络 平台 集中 营 ( 电 2004-01-12 13:21:07 。 量 erosoft Outlook 卫 
| 机 器 | 用 户 |I | 性 192. 168.0.18 2004-01-12 13:21:23 Mlierosoft Outlook 了 


| ew Polder 192.168.0.18 。 免费 电影 INTV 钦 芝 


a SW 四 fen [IP:192.168.0. 188] [WAC:00014A01DEAB]<2> 
SW 192.168.0.1 [IP:192. 168. 0.1] [EAC:000APB21F819]《! 


192.168.0.18 。 百度 搜索 引擎 党 价 2004-01-12 13:21;30 出 crosoft Outlock 了 
192.168.0.18 。 Bigger per vith .. 2004-01-12 13:21:31 The Bat! (vl,S2f) 了 


多 发 人 箱 Sur) 192.168.0.18 great oil 2004-01-12 13:21:33 。 The Bat! (v1,S2f) B 
® 收 件 箱 PoP3) 192.168.0.18 Nev Security Upgrade 2004-01-12 13:21;35 Bat1 (vl,S2£) Bu 
驳 FTP 上 传 199 168_n 18 No 2nna-ni-i9 13.99.41 由 rrnwnff nmtlonor po 
网 页 粘贴 [ 合 Teb 邮 件 ] er 

驻 Nsn Nessenger 文 件 41> 发 件 人 :Chenpion coning 《rinnergcl 收 件 人 : softxpasins com 


合 Tencent qq 文件 
日 SW MFAN [IP:192.168.1.2] [MAC:000E354B590C] 231> 
移 发 件 箱 GuTP) 4> 
CIEEHIEEETC3 
鸣 FTP 上 传 G》 
网 页 粘贴 [ 合 Yetb 则 件 ]<107> 
3 Hsn Nessenger 文 件 <1> CASINO, | 
合 Tencent oq 文件 全 > 
识 vonkco 


st Casino Avard; $300 from Desert Doller 


"3 
图 12.34 外 发 资料 日 志 图 12.35 显示 日 志 内 容 
(3) 搜索 邮件 ， 如 图 12.36 所 示 。 在 输入 框 中 输入 邮箱 或 关键 词 时 都 必须 单行 输入 ， 
对 附件 类 型 进行 搜索 时 ， 如 果 同 时 搜索 多 个 类 型 ， 那 么 用 逗号 分 隔 开 。 


名 查找 邮箱 


sotxpavip. Sin com 


| 


加 | 
发 送 者 网 卡 地 址 内 容 标 题 

工作 服 、 制 服 定做 0755-62954926 。 接受 5445454@ 5oEtxrpBw 

工作 本 softspQ. 

softxplY. 

softxply. 

softxplY. 

全 投资 好 项 目 ， 长 话费 成 本 价 . 3 softxply. 

Yam $95，VInYY f123，VALT 按 委 ote 

评 训 康 快 稚 宝 最 新 特价 机 村 softxply. 

?th23129b?MncbuavLvs34lbTqw .接受 softxplv. 

7 由 b23127b?EncbuayLys341bTQ softxp@Y. 

百 朗 扫 索引 敬 况 价 排名 腿 务 失效 softxply. 

09 工作服、 制服 定做 07S5-82954928 eftxpBy 

eftxpBy- 

softxply. 


最 近 比较 需 3 
今日 商贸 信息 eftxpBy 
3 softxply. 


softxp@Y. 
softxplv. 
hfenBso, 
softxpl@Y. 


12.7.3 日 志 报 表 


日 志 报 表 分 析 能 提供 多 种 专业 图 形 化 报表 ， 同 时 在 报表 结果 中 用 户 也 可 以 查阅 详细 的 
日 志 内 容 ， 如 图 12.37 所 示 《〈 在 统计 数据 上 双击 ， 可 弹出 要 显示 的 内 容 )。 


日 志 拔 表 [外 发 资料 报表 1] 


-人 鲁 ] BM 图: [2005- 7-22 >] - 
下 同 划 全 天, 昌 


192.168.0.190 wal. dudu em 


查询 、 发 表 文 章 或 申请 服务 等 等 


地 址 : http://vip3- 

211. sinamail. sina. com. cn/cgi/maillist. 
语言 : zh-cn 

编码 : gzip, deflate 


图 12.37 日 志 报表 分 析 


12.8 代理 服务 器 软件 CCProxy 的 配置 


代理 服务 器 软件 支持 各 类 网 络 代理 协议 ， 如 http、socks、ftp、smtp、pop3、dns 等 
完全 支持 qq、fip、msn、outlook、foxmail 等 客户 端 软件 代理 上 网 。 在 实现 共享 上 网 的 同 
时 可 以 很 方便 地 对 客户 端 进行 严格 的 账号 管理 ， 如 IP+MAC 认证 、 限 制 上 网 时 间 、 限 制 
QQ 和 MSN 聊天 、 过 滤 网 站 、 连 接 数 、 带 宽 、 流 量 限制 等 。 如 果 想 要 实现 网 路 岗 的 控制 功 
能 就 必须 让 所 有 客户 PC 都 通过 网 路 岗 服务 器 来 上 网 ， 所 以 安装 代理 服务 器 软件 是 最 好 的 
解决 方案 。 

CCProxy 于 2000 年 6 月 问世 , 是 国内 最 流行 的 下 载 量 最 大 的 国产 代理 服务 器 软件 , 主 
要 用 于 局 域 网 内 共享 宽带 上 网 ，ADSL 共享 上 网 、 专 线 代理 共享 、ISDN 代理 共享 、 卫 星 代 
理 共享 、 蓝 牙 代理 共享 和 二 级 代理 等 共享 代理 上 网 。 

总 体 来 说 ，CCProxy 可 以 完成 两 项 大 的 功能 ， 代 理 共享 上 网 和 客户 端 代理 权限 管理 。 
只 要 局 域 网 内 有 一 台 机 器 能 够 上 网 ,其 他 机 器 就 可 以 通过 这 台 机 器 上 安装 的 CCProxy 来 代 
理 共享 上 网 ， 最 大 程度 地 减少 了 硬件 费用 和 上 网 费用 。 只 需要 在 服务 器 上 CCProxy 代理 服 
务 器 软件 里 进行 账号 设置 ， 就 可 以 方便 的 管理 客户 端 代 理 上 网 的 权限 。 在 提高 员工 工作 效 
率 和 企业 信息 安全 管理 方面 ，CCProxy 充当 了 重要 的 角色 。 全 中 文 界面 操作 和 符合 中 国 用 
户 操作 习惯 的 设计 思路 , CCProxy 完全 可 以 成 为 中 国 用 户 代理 上 网 首选 的 代理 服务 器 软件 。 
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风疹 颁 会 与 合理 ( 谎 二 把 ) 


12.8.1 CCProxy 的 基本 设置 


(1) 打开 软件 ， 界 面 非常 简洁 ， 演 示 版 只 支持 三 个 用 户 ， 做 试验 够 用 了 ， 如 图 12.38 
所 示 。 


克 CCProxy 7.2( 演 示 版 只 能 支持 3 用 户 ) 


Copyright(C) 2000-2010 Youngzsoft 1 wo 093037 


图 12.38 CCProxy 界面 


(2) 打开 “设置 ”对 话 框 ， 如 图 12.39 所 示 进 行 设置 ， 单 击 “ 确 定 ” 按 钮 。 在 实验 中 
oa v7 


其 他 设置 采用 默认 就 可 以 了 ， 不 用 限制 任何 内 容 ， 限 制 功能 由 网 路 岗 来 完成 。 


避 


议 
HTTP/RTSP 


国 


Secure 
FTPIWeb) 
Gopher 
SOCKS/MMS 
FTP 

Telnet 

新 闻 


图 图 轿 


远程 扑 号 
自动 自动 
自动 隐 襄 
端口 映射 盏 


图 图 图 


加 


请 选择 本 机 局 域 网 |P 地 址 四] 


口 NT 服 务 


图 12.39 设置 界面 
12.8.2 ”客户 端的 设置 


(1) 打开 浏览 器 ， 选 择 “ 工 具 ” 一 “Intemet 选项 ”命令 ， 在 打开 的 对 话 框 中 选择 “ 连 
接 ” 选 项 卡 ， 单 击 “ 局 域 网 设置 ”按钮 ， 如 图 12.40 所 示 。 
(2) 在 “局 域 网 (LAN) 设置 ”对 话 框 中 的 “代理 服务 器 ”选项 区 域 中 选中 “为 LAN 


Et 


使 用 代理 服务 器 (这 些 设置 不 会 应 用 于 拨号 或 VPN 连接 ) 复 选 框 ， 在 “地 址 ”文本 框 中 填 
写 CCProxy 服务 器 的 下 地 址 ， 在 “端口 ”文本 框 中 填写 808， 如 图 12.41 所 示 。 单 击 “ 确 
定 ” 按 钮 ， 即 完成 了 客户 端的 设置 。 


常规 | 安全 | 隐私 | 内 容 “| 连接 “| 程序 “| 高 人 


ee 
氢 号 和 庶 拟 专用 网 络 设置 一 一 一 一 一 
| 部 宽带 连接 | Cnv 

| RES- 

| 

| 设置 () 局 域 网 (LAN) 设 置 
施加， 请 过 择 “ 设 自动 四 

、 自动 配置 会 敌 关 手动 设置 。 要 确保 使 用 手动 设置 ， 请 禁用 自动 也 置 ， 
加 从 下 进行 拓 叶 连接) 
〇 不论 网 络 连 接 是 否 存在 都 进行 拔 号 中) 口 和 检测 设置 内 
加 始终 所 默认 连接 ) 口 使 用 自动 配置 脚 本 (8) 
当前 默认 连接 : 无 设置 默 以 值 多 地 址 E) |[ 
局 域 网 LA 设置 代理 服务 器 
全 吓人 局 三 同 设置 咏 回 为 全 用 代理 服务 器 此 时 不 全 应 用 于 扩 呈 或 VPN 连接 
地 址 EE); [192.168.0 118 | 端口 0); [808 [LO 
口中 过 本 地 地 址 的 代理 服务 器 @) 
CE CR Cm 
图 12.40 局 域 网 设置 图 12.41 填写 代理 服务 器 信息 
SUA [= 
实验 思考 题 


.“ 网 路 岗 ” 对 于 网 络 管理 员 在 日 常 网 络 维护 上 有 什么 好 处 ? 
.选择 什么 样 的 安装 位 置 有 助 于 “网 路 岗 ” 获 得 更 加 有 用 的 数据 ? 
. 监控 内 容 如 何 查阅 并 保存 ? 

.“ 网 路 岗 ” 能 监控 的 内 容 中 ， 用 处 比较 大 的 是 哪些 ? 
.代理 服务 器 的 功能 有 哪些 ? 

.如 何 限制 用 户 访问 指定 网 站 ? 

.如 何 限制 用 户 下 载 指定 类 型 文件 ? 


A ww 上 wm 一 


菇 丛 2 网 登入 魏 任 和 抄 应 悦 


第 13 章 实验 3 Windows 操作 系统 的 安全 设置 


13.1 实验 目的 及 要 求 
13.1.1 实验 目的 


通过 实验 掌握 Windows 操作 系统 的 常用 基本 安全 设置 ,有 效 防范 攻击 的 措施 、Windows 
账户 与 密码 的 安全 设置 、 文 件 系统 的 保护 和 加 密 、 安 全 策略 与 安全 模板 的 使 用 、 审 核 和 日 
志 的 启用 、 数 据 的 备份 和 还 原 ， 建 立 一 个 Windows 操作 系统 的 基本 安全 框架 。 


13.1.2 ”实验 要 求 


根据 教材 中 介绍 的 Windows 操作 系统 的 各 项 安全 性 实验 要 求 , 详细 观察 并 记录 设置 前 
后 系统 的 变化 ， 给 出 分 析 报 告 。 


13.1.3 ”实验 设备 及 软件 
- 台 安 装 Windows XP 操作 系统 的 计算 机 ， 磁 盘 格 式 配置 为 NTFS。 


13.2 ”禁止 默认 共享 


1. 什么 是 默认 共享 

Windows 2000/XP/2003 版 本 的 操作 系统 提供 了 默认 共享 功能 ， 这 些 默认 的 共享 都 有 $ 
标志 ， 意 为 隐 含 的 ， 包 括 所 有 的 忱 辑 盘 〈C$、DS$、ES$ 等 ) 和 系统 目录 (admin$)。 

2. 带 来 的 问题 

微软 公司 的 初 囊 是 便于 网 管 进行 远程 管理 ， 这 虽然 方便 了 局 域 网 用 户 ， 但 对 个 人 用 户 
来 说 这 样 的 设置 是 不 安全 的 。 如 果 计 算 机 联网 ， 网 络 上 的 任何 人 都 可 以 通过 共享 硬盘 随意 
进入 别人 的 计算 机 ， 所 以 有 必要 关闭 这 些 共享 。Windows XP 在 默认 安装 后 允许 任何 用 户 
通过 空 用 户 连接 (IPC $ ) 得 到 系统 所 有 账户 和 共享 列表 ， 任 何 一 个 远程 用 户 都 可 以 利用 
这 个 空 的 连接 得 到 目标 主机 上 的 用 户 列 表 。 黑 客 就 利用 这 项 功能 查找 系统 的 用 户 列表 ， 并 
使 用 一 些 字典 工具 对 系统 进行 攻击 。 这 就 是 网 上 较 流行 的 IPC 攻击 。 

3. 查看 本 地 共享 资源 

选择 “开始 ”一 “运行 ”命令 ， 在 打开 的 对 话 框 中 输入 cmd， 在 命令 行 窗口 中 输入 net 
share， 如 图 13.1 所 示 ， 如 果 看 到 有 异常 的 共享 ， 那 么 应 该 关闭 。 但 是 有 时 关闭 共享 后 ， 在 
下 次 开机 的 时 候 又 出 现 了 ， 那 么 就 应 该 考虑 一 下 ， 计 算 机 是 否 已 经 被 黑客 控制 了 ， 或 者 中 


C:\¥INDOW: 


A exe 


icrosoft Windows XP [| 5.1.2688] a 
Kc》 版 权 所 有 1985-28@1 Microsoft Corp- 


:\Docunents and Settings\hdministratorynet share 


享 名 ”资源 注释 
Re i 0 
IPCS$ 桩 IPC 
D:、\ 享 
DMINS C: WINDOWS 革 问 
C:、\ 共 : 
PN 球 认 共享 
1 E: N61 
ngxiang E:\share 
hare F:\share 
令 成 功 完成 。 
图 13.1 本 地 共享 资源 


4. 删除 共享 〈 每 次 输入 一 个 ) 
admin$ /delete 
c$ /delete 

d$ /delete 

es$ /delete 
share f$ /delete 


(如 果 有 g、h 可 以 继续 删除 ) 

S. 注册 表 改 键 值 法 一 一 关闭 默认 共享 漏洞 

选择 “开始 ”一 “运行 ”命令 ， 在 打开 的 对 话 框 中 输入 regedit， 单 击 “确定 ” 按 钮 ， 
打开 注册 表 编辑 器 ， 找 到 HKEY LOCAL MACHINE\SYSTEM\CurrentControlSet\Service\ 
lanmanserver\parameters 项 ， 双 击 右 侧 窗口 中 的 AutoShareServer 项 将 键 值 设 为 0, 这样 就 能 
关闭 硬盘 各 分 区 的 共享 。 如 果 没 有 AutoShareServer 项 ， 可 自己 新 建 一 个 类 型 为 
REG_DWORD、 键 值 为 0 的 DWORD 值 。 然后 还 是 在 这 一 窗口 中 再 找到 AutoShareWks 项 ， 
类 型 为 REG_DWORD， 也 将 键 值 设 为 0， 关闭 admin$ 共 享 ， 如 图 13.2 所 示 。 


share 
share 
share 
share 


名 称 类 型 数据 
本 | 芷 认 ) REG_SZ 伍 值 未 设置 ) 
AdjustedliullSessionPipes REG_DWORD 0x00000001 (1) 
i REG_DWORD 0x0000000f (15) 
REG_DNORD Ox00000000 (0) 
REG_DWORD 0x00000000 (0) 
REG_DWORD 0x00000000 (0) 
鸭 enableforcedlogoff REG_DWORD 0x00000001 (1) 
鸭 enablesecuritysienature REG_DWORD 0x00000000 (0) 
较 cuia REG_BINARY 75 e0 53 27 22 03 67 42 a7 Se le 上 
Lnannounce REG_DWORD 0x00000000 (0) 
ab]iiullSessionPipes REG MULTI_SZ COMNAP COMNODE SQL\QUERY SPOOLSS 工 
辐 ]mllsessionShares REG MULTI_SZ CONCFG DFS$ 
requiresecuritysienature REG_DWORD Ox00000000 (0) 
[ab]servicen1l REG_EXPAND_SZ SystemRoot%\Systen32Asrvsvc. dll 
况 size REG_DWORD Ox00000002 (2) 
[Bb]srvecomnent REG ST 
图 13.2 修改 键 值 


锋 胎 了 Windows 春 作 承 统 失 人 会 帮 甘 


风疹 人 委 会 与 合理 ( 谎 二 把 ) 


最 后 到 HKEY_LOCAL MACHINE\SYSTEM \CurrentControlSet \Control \Lsa 项 处 找到 
restrictanonymous, 将 键 值 设 为 1。 如 果 设置 为 1, 一 个 匿名 用 户 仍然 可 以 连接 到 IPC$ 共 享 ， 
但 限制 通过 这 种 连接 得 到 列举 SAM 账号 和 共享 等 信息 。 在 Windows 2000 中 增加 了 2， 限 
制 所 有 匿名 访问 ， 除 非特 别 授权 。 如 果 设 置 为 2 的 话 可 能 会 有 一 些 其 他 问题 发 生 ， 建 议 设 
置 为 1。 如 果 上 面 所 说 的 主键 不 存在 ， 就 新 建 一 个 修改 键 值 ， 如 图 13.3 所 示 。 


中 | 名称 类 型 数据 


国 与 认 ) REG_SZ 入 值 未 设置 ) 
辆 saditbaseobjects REG_DWORD Dx00000000 (0) 
Menticntion Packages REG MULTT_SZ mvp 
REG_BINARY 00 30 oo oo oo 20 00 om 
REG_DNORD Ox00000000 (0) 
REG_DNORD Ox00000000 (0) 
固 。veryoneincludesanonymous REG_DWORD Ox00000000 (0) 
国 fipsadleorithnpolicy REG_DWORD Dx00000000 (0) 
国 forceguest REG_DWORD Ox00000000 @) 
固 salprivilegeauditinzg REG_BINARY oo 
ipersonateFrivilegeUperadeT- .. REG_DWORD Ox00000001 (1) 
imitblankpassworduse REG_DWORD ox00000001 (1) 
REG_DNORD Ox00000000 中) 
REG_DWORD Ox000002%8 (680) 
REG_DNORD Ox00000001 (1) 
REG_DNORD 0x00000000 四 ) 
REG_WULTI_SZ scecli 
REG_DNORD Ox00000001 (1) 
estrictanonymoussan REG_DWORD Ox00000001 (1) 
国 SecureBoot REG_DWORD Ox00000001 (1) 
国 security Packages REG_MULTI_SZ IE 


图 13.3 ”修改 键 值 
注意 : 修改 注册 表 后 必须 重启 机 器 才能 生效 ， 但 一 经 改动 就 会 永远 停止 共享 。 


13.3 服务 策略 


车 PC 没有 特殊 用 途 ， 基 于 安全 考虑 ， 打 开 “ 控 制 面板 ”一 “管理 工具 ”一 “服务 ” 
命令 ， 如 图 13.4 所 示 。 


ht 为 Tateroet 到 本 
并 匀 和 溉 务 ， 澡 各 分 浙 ， 发行 于 
Pr 在 后 各 代 廊 党 和 要务 半 之 和 手 9 
首 和 人才 户 计划 和 有 天 素 坟 和 振 多 : 启用 “区 阳光 查 下 并” 外 不 入 自 关 志 2 
过 本 系 娘 和 和 闻 务 ees) ,此 导 务 。。 已 动 Fe 
基本 苦于 colt 要 各 相 过 和 限于 ,如 9 目 
六 9 上 计 牙 机 入 罗列 表 ， 开 后 列 。。 已 动 和 
三 生男 扩 好 天 天 加 务 。 。 已 居 芭 自负 
已 Ba Be 
已 8 自动 
己 Ba Ba 
手 吉 
已 E 和 
ew Ea 
向 riaaws 客户 条 提 并 可 扩 巡 身 从 了 手动 
为 下 多 竹下 需要 六 和 者 栏 扩 提 沉 。 已 动 扫 
宇 当 才 下 书 用 记 丰 ne 人 有) Ee 
启用 在 二 生机 上 汉 行 和 入 持 中 心 ] 
此 寺 务 再 过 安全 套 本寺 G3D 突现 手动 
日 用 对 咎 办 硬 设 备 CUD) 省 注入 由 
用 Tvass Masterine Neelicati cas Pr 了 
示 志 生生; 贡 机 上 文 细 家 内 容 和 于 
攻 旦 裤 生 各 及 白 动 fs/ns。 书后 am 
区 列 站 讽 新党 3 阴间 要 理科 已 动 Ba 
光合 过 和 井上 名 务 只 为 可 和 到 
全 要 高 各 务 雪 之 岂 旨 S29。 已 动 克 9 
徊 闪 过 各 入 务 的 涡 和 共 汪 关 过 各 村 3 
皇上 计算机 pass-tronch 可 于 和 
全 医术 有 有 记 才 如 过 人 和 和 到 
手动 
Ee 玫 
er nr 为 记 司 一 夺 蓝 机 孚 不 二 贡 机 上 去 生 | 
Seok Dr yom 和 动 兴 委 电 六 扫 0oz) 网关 字 。 | BR 避 


图 13.4 服务 选项 


禁用 以 下 服务 : 


Alerter: 通知 所 选用 户 和 计算 机 有 关系 统管 理 级 警报 。 

ClipBook: 启用 “剪贴 笑 查 看 器 ”储存 信息 并 与 远程 计算 机 共享 。 

Human Interface Device Access: 启用 对 智能 界面 设备 (HID) 的 通用 输入 访问 ， 它 
激活 并 保存 键盘 、 远 程控 制 和 其 他 多 媒体 设备 上 预先 定义 的 热 按钮 。 

IMAPI CD-Burning COM Service: 用 Image Mastering Applications Programming 
Interface 管理 CD 录制 。 

Indexing Service: 本 地 或 远程 计算 机 上 文件 的 索引 内 容 和 属性 ， 泄 露 信息 。 
Messenger: 信使 服务 。 

NetMeeting Remote Desktop Sharing: 使 授权 用 户 能 够 通过 使 用 NetMeeting 跨 企业 
Intranet 远程 访问 此 计算 机 。 

Network DDE: 为 在 同一 台 计 算 机 或 不 同 计算 机 上 运行 的 程序 提供 动态 数据 交换 。 
Network DDE DSDM: 管理 动态 数据 交换 (DDE) 网 络 共享 。 

Print Spooler: 将 文件 加 载 到 内 存 中 以 便 迟 后 打印 。 

Remote Desktop Help Session Manager: 管理 并 控制 远程 协助 。 

Remote Registry: 使 远程 用 户 能 修改 此 计算 机 上 的 注册 表 设 置 。 

Routing and Remote Access: 在 局 域 网 及 广域网 环境 中 为 企业 提供 路 由 服务 。 黑 客 
利用 路 由 服务 刺探 注册 信息 。 

Server: 支持 此 计算 机 通过 网 络 的 文件 、 打 印 和 命名 管道 共享 。 

TCP/IP NetBIOS Helper: 允许 对 TCP/IP 上 NetBIOS (NetBT) 服务 及 NetBIOS 名 
称 解 析 的 支持 。 

Telnet: 允许 远程 用 户 登录 到 此 计算 机 并 运行 程序 。 

Terminal Services: 允许 多 位 用 户 连接 并 控制 一 台 机 器 , 并 且 在 远程 计算 机 上 显示 桌 
面 和 应 用 程序 。 

Windows Image Acquisition (WIA): 为 扫描 仪 和 照相 机 提供 图 像 捕 获 。 


如 果 发 现 机 器 开启 了 一 些 很 奇怪 的 服务 ， 如 r_server 这 样 的 服务 ， 必 须 马上 停止 该 服 
务 ， 因 为 这 完全 有 可 能 是 黑客 使 用 控制 程序 的 服务 端 。 


13.4 关闭 端口 


先 看 一 下 如 何 查看 本 机 打开 的 端口 和 TCP/IP 端口 的 过 滤 。 选 择 “开始 ”一 “运行 ” 
命令 ， 在 打开 的 对 话 框 中 输入 cmd， 然 后 输入 命令 netstat -a， 如 图 13.5 所 示 。 


E 


关闭 自己 的 139 端口 ，IPC 和 RPC 漏洞 存在 于 此 


开启 139 端口 虽然 可 以 提供 共享 服务 , 但 是 常常 被 攻击 者 利用 进行 攻击 , 如 使 用 流光 、 
SuperScan 等 端口 扫描 工具 可 以 扫描 目标 计算 机 的 139 端口 ， 如 果 发 现 有 漏洞 ， 可 以 试图 
获取 用 户 名 和 密码 ， 这 是 非常 危险 的 。 关 闭 139 端口 的 方法 是 在 “网 络 连接 ”窗口 中 右 击 
“本 地 连接 ”图 标 ， 在 弹出 的 “本 地 连接 属性 ”对 话 框 中 选中 “Intemet 协议 (TCP/IP)” 选 
项 ， 单 击 “ 属 性 ”按钮 ， 在 打开 的 “Intemet 协议 (TCP/IP) 属性 ”对 话 框 中 单 击 “ 高 级 ” 
按钮 ,进入 “高 级 TCP/IP 设置 ?对 话 框 ,在 WINS 选项 卡 中 选中 “禁用 TCP/IP 上 的 NetBIOS” 


颁 验 3 Windows 厅 估 天 纤 扩 人 安 知 矶 村 


风疹 颁 会 与 合理 ( 谎 二 把 ) 


单 选 按 钮 ， 如 图 13.6 所 示 。 


图 13.5 开放 的 端口 


2. 445 端口 的 关闭 


酉 ICP/IP 设置 ?x 
环 设 置 |ws WIS ”| 选项 | 
TS 地 址 ( 榨 便 用 顾 序 排列 ) 加 ) 
|C: \Docunents and Settings\Adninistratornetstat -a 
RETEST 
etive Connections pe—— 
于 
Proto Local Address Foreign Address State ie 
TCP PC-286811211103:epnap PC-288811211183:@ LISTENING [车 mW ] [SEE  ] [Law ] 
ICP ~ PC-280811211103:nicrosoft-ds PC-298811211193:8 LISTENING 
ICP 。 PC-299811211193:912 PC-288811211183:@ LISTENING 如果 局 用 UnsTs 搜索 ， 它 格 应 用 于 所 有 局 用 TCP/IP 的 连接 。 
ICP PC-280811211163:1825 PC-288811211183:8 LISTENING 
ICP PC-280811211103:6859 PC-298811211183:@ LISTENING ET 
ICP ~ PC-280811211163:9618 PC-286811211163:9 LISTENING 本 有 由 ves 三 二 SA ss 
ICP PC-280811211103:9811 PC-286811211183:9 LISTENING etBI0s 设置 
ICP ~ PC-280811211103:nethios-ssn PC-286811211193:@ LISTENING Om 
ICP ~ PC-280811211163:1825 PC-288811211183:1349 ESTABLISHED ee ee 
ee i A 
ICP PC-280811211103:1158 PC-286811211183:1825 CLOSE_WAIT 
ICP PC-280811211163:1349 PC-288811211183:1825 ESTABLISHED © a Ld ea 
ICP 。 PC-280811211103:nethios-ssn PC-288811211193:8 LISTENING ee 
ICP 。 PC-299811211163:1358 219.238.235.94:http ESTABLISHED OM TH/ FN Notions 
ICP 。 PC-280811211103:nethios-ssn PC-298811211193:9 LISTENING 
UDP ~ PC-280811211103:microsoft-ds w:* 
UDP 。 PC-299811211193: isaknp “:* 
UDP 。 PC-299811211193:4599 。 wz 
UDP PC-280811211193zntp ww | 


图 13.6 关闭 139 端口 


445 端口 和 139 端口 是 IPC$ 入 侵 的 主要 通道 , 通过 445 端口 可 以 偷偷 共享 硬盘 ， 


甚至 会 在 悄 无 声息 中 将 硬盘 格式 化 。 所 以 关闭 445 端口 是 非 
-个 键 值 HRKEY LOCAL MACHINE\System \Current 
-个 名 称 为 SMBDeviceEnabled 


445 端口 漏洞 。 


修改 注册 表 ， 添 加 - 
ControlSet \Services\NetBT\Parameters， 在 右边 的 窗口 建立 - 


常 必 要 的 


的 DWORD 值 ， 类 型 为 REG_DWORD， 键 值 为 0， 如 图 13.7 所 示 。 
名 称 类 型 数据 
西 | 性 认 ) REG_SZ 做 值 未 设置 ) 
项 BeastNanequeryCount REG_DWORD 0x00000003 (3) 
BeastQueryTineout REG_DWORD 0x000002es (750) 
国 cacheTineout REG_DWORD Ox000927cD (800000) 
辆 phepyodeType REG_DWORD Ox00000008 (6) 
加 EnableUosTs REG_DWORD 0x00000001 (1) 
aneServerPort REG_DWORD 0x00000089 (137) 
NaneSrvQueryCount REG_DWORD Ox00000003 (3) 
FaneSrvQueryTineout REG_DWORD Ox000005de (1500) 
ab] NbPr ovi der REG_SZ _tep 
国 SessionKeepAlive REG_DWORD 0x0036es80 (3600000) 
Size/snall/Nlediun/Large REG_DYORD Ox00000001 (1) 
BRIr onspor ortBindName REG_SZ MDevice\ 

REG_DWORD 0x00000000 (0) 


3. 禁止 终端 服务 远程 控制 、 


图 13.7 建立 键 值 


远程 协助 


“终端 服务 ”是 Windows XP 在 Windows 2000 系统 (Windows 2000 利 月 


程 的 服务 器 托管 
务 ” 和 “远程 协助 ”是 有 一 
的 登录 管理 权限 ，” 


池 ) 上 遗留 下 来 的 一 


可 以 封 堵 住 


六 


et 


种 服务 形式 , 用 户 利用 终 端 可 以 实现 远程 控制 。 “终端 
定 区 别 的 ， 虽 然 实现 的 都 是 远程 控制 ， 但 终 
它 的 每 次 连接 都 需要 当前 系统 的 一 个 


phe 


具体 登录 了 D， 日 相 互 卫 ， 并 独立 


于 当前 计算 机 用 户 的 邀请 ， 可 以 独立 、 自 由 登录 远程 计算 机 。 

在 Windows XP 系统 下 “终端 服务 ”是 被 默认 打开 的 ， 也 就 是 说 ， 如 果 有 人 知道 你 计 
算 机 上 的 一 个 用 户 登录 ID， 并 且 知道 计算 机 的 一， 它 就 可 以 完全 控制 你 的 计算 机 。 

在 Windows XP 系统 里 关闭 “终端 服务 ”的 方法 如 下 : 右键 单 击 “ 我 的 电脑 ”图 标 ， 
从 弹出 的 快捷 菜单 中 选择 “属性 ”命令 ， 在 “远程 ”选项 卡 中 取消 对 “允许 用 户 远程 连接 
到 此 计算 机 ” 复 选 框 的 勾 选 ， 如 图 13.8 所 示 。 

在 Windows XP 上 有 一 项 名 为 “远程 协助 ” Te ee 
的 功能 ， 它 允许 用 户 在 使 用 计算 机 发 生 困 难 时 间 。 3-Tesmmeersmsz. 
MSN 上 的 好 友 发 出 远程 协助 邀请 来 帮助 自己 解 加 人 HE 
决 问题 。 ee GE 

但 是 这 个 “远程 协助 ”功能 正 是 “冲击 波 ” 
病毒 所 要 攻击 的 RPC (Remote Procedure Call) 服 
务 在 Windows XP 上 的 表现 形式 ， 建 议 用 户 不 要 
使 用 该 功能 ， 使 用 前 应 该 安装 Microsoft 提供 的 
RPC 漏洞 工具 和 “冲击 波 ” 免 疫 程序 。 禁 止 “ 远 
程 协助 ”的 方法 : 右键 单 击 “ 我 的 电脑 ”图 标 ， 
在 弹出 的 快捷 菜单 中 选择 “属性 ”命令 ， 在 “ 远 CE CR Ca 
程 ”选项 卡 中 取消 对 “人 允许 从 这 台 计 算 机 发 送 远 
程 协助 邀请 ” 复 选 框 的 勾 选 。 

4. 屏蔽 闲置 的 端口 

使 用 系统 自 带 的 “TCP/IP 筛选 服务 ”就 能 够 限制 端口 ， 方 法 如 下 : 在 “网 络 连接 ”上 
单 击 右 键 ， 从 弹出 的 快捷 菜单 中 选择 “属性 ”命令 , 打开 “网 络 连 接 属性 ”对 话 框 , 在 “ 常 
规 ” 选 项 卡 中 选中 “Intemet 协议 (TCP/IP)” 选 项 ， 然 后 单 击 下 面 的 “属性 ”按钮 ， 在 打 
开 的 “Intemet 协议 (TCP/IP) 属性 ”对 话 框 中 单 击 “ 高 级 ”按钮 ， 在 弹出 的 “高 级 TCP/IP 
设置 ”对 话 框 中 选择 “选项 ”选项 卡 ， 再 单 击 下 面 的 “属性 ”按钮 ， 最 后 弹出 “TCP/IP 得 
选 ” 对 话 框 ， 通 过 “只 允许 ” 单 选 按钮 ， 分 别 添加 TCP、UDP、 了 等 网 络 协议 允许 的 端 
口 ， 如 图 13.9 所 示 ， 然 后 添加 需要 的 TCP 和 UDP 端口 就 可 以 了 。 如 果 对 端口 不 是 很 了 解 
的 话 ， 不 要 轻易 进行 过 滤 ， 不 然 可 能 会 导致 一 些 程序 无 法 使 用 。 未 提供 各 种 服务 的 情况 可 
以 屏蔽 掉 所 有 的 端口 ， 这 是 最 佳 的 安全 防范 形式 ， 但 是 不 适合 初学 者 操作 。 


TCP/IP 第 先 区 | 区 


选择 远程 用 户 @)， 
运程 连接 到 此 计算 机 的 用 户 的 用 户 帐户 必须 包 合 密 码 。 


Windews 防火 培 将 配置 为 允许 远程 桌面 连接 到 此 计算 机 。 


图 13.8 取消 远程 连接 


回 局 用 TCP/IP 第 选 电 有 适配器 ) EE) 


口 全 部 允许 吕 ) 口 全 部 允许 中 口 全 部 允许 四 
回 只 允许 四 加 只 允许 四 ORRTD 
TC 端口 WP 端口 王 协 议 | 
80 8080 25 
] 
添加 添加 . [ 兹 加 
BS E) 才 ) ELI) 
[3 取消 


图 13.9 网 络 协议 允许 的 端口 


侨 哈 3 Windows 厅 估 天 纤 朱 安生 矶 村 


风疹 颁 会 与 合理 ( 谎 二 把 ) 


《 


13.$ ”使 用 IP 安全 策略 关闭 端口 


1) 打开 “控制 面板 ”一 “管理 工具 ”一 “本 地 安全 策略 ”找到 “IP 安全 策略 ”， 如 


图 13.10 所 示 。 
(2) 用 鼠标 右键 单 击 右 方 窗 格 的 空白 位 置 ， 在 弹出 的 快捷 菜单 中 选择 “创建 P 安全 策 


略 ” 命 令 ， 如 图 13.11 所 示 。 


本 地 安全 设置 


损人 (查看 ee 


5 查看 W || + 二 | 协 | 田 | 图 | 七 


和 信安 全 策略， 在 本 二 


树 名 称 指 述 衬 | I 
| ET ET 总 安全 服务 器 (要 求 安 .,， 对 于 所 有 IP 通讯 ， 总 


总 客户 端 (只 响应 ) 进行 正常 通讯 (没有 加 
便服 务 器 (请 求 安全 设置) 总 是 用 kerberos 信任 


CEEIEEEEES] 
于 吕 天 和 证 | 
误 玫 上 


所 有 任务 


图 13.10 找到 “本 地 安全 策略 ”中 的 “IP 安全 策略 ” 图 13.11 创建 新 的 策略 


在 向 导 中 单 击 “ 下 一 步 ” 按 钮 ， 到 第 二 页 为 新 的 安全 策略 命名 ， 或 者 直接 单 击 “ 下 


一 步 ” 按 包 。 


(3) 到 达 “ 安 全 通信 请 求 ”处 ， 默 认 选 中 了 “激活 默认 响应 规则 ” 复 选 框 ， 将 选中 状 


态 改 成 未 选中 状态 ， 如 图 13.12 所 示 ， 再 单 击 “ 下 一 步 ”按钮 。 


IP 安全 策略 向 导 


安全 通讯 请 求 
指定 这 个 策略 如 何 对 安全 通讯 的 请 求 做 出 反应 。 


训 风 区 夫 风 人 请 放 有 下 全 机 网 及 用 时 对 请 求 安全 的 远 # 
。 为 了 安全 地 通讯 ， 寺 算 机 必须 对 安全 通 起 请 求 做 出 啊 / 


图 13.12 不 要 激活 默认 选中 状态 


选中 “编辑 属性 ” 复 选 框 ， 单 击 “ 完 成 ”按钮 ， 如 图 13.13 所 示 。 
(4) 在 “新 卫 安全 策略 属性 ”对 话 框 中 看 看 “使 用 “添加 向 导 '” 复 选 框 有 没有 被 选 


中 ， 使 之 变 成 未 选中 状态 ， 然 后 单 击 “ 添 加 ”按钮 ， 如 图 13.14 所 示 。 


迅 


(5) 在 “新 规则 属性 ”对 话 框 中 单 击 “ 添 加 ”按钮 ， 如 图 13.15 所 示 。 
(6) 在 “IP 筛选 器 列表 ”对 话 框 中 取消 “使 用 “添加 向 导 " ” 复 选 框 的 选中 状态 ， 然 
击 “添加 ”按钮 ， 如 图 13.16 所 示 。 


EXE x 
完成 “IF 安全 策略 向 导 ” 
您 已 成 功 地 完成 指定 您 的 新 IP 安全 策略 的 导 性 。 


请 按 “完成 ”来 关闭 此 向 导 。 


CAC[ 过 隐 > 册 
图 13.13 ”完成 新 策略 添加 
EE 
规则 | 第 规 | J 了? 第 寺 器 列表 | 证 过 器 操作 | 身份 验证 方法 | 隆 道 设置 | 连接 区 
本 
堪 和 其 他 计算 机 通讯 的 安全 规则 过 所 选 的 IP 第 选 器 列表 指定 了 哪个 网 络 传输 格 用 此 规 
止 安全 规则 山 ): IP 第 选 器 列表 C) : 
_ 节 第 选 器 列表 。 | 第 过 器 哲 作 | 身份 验证 方法 | 隆 道 设置 称 _ 描述 
erheres 无 〇 所 有 ICMP 通讯 量 匹配 这 台 计 算 机 和 其 他 任 人 
〇 所 有 I? 通讯 除了 广播 、 多 播 、Kerbero 
| 
CT RA “En S” WY Fn) | MR) 
国 


图 13.14 单 击 “ 添 加 ”按钮 ， 添 加 新 的 连接 规则 


图 13.15 添加 新 的 规则 


(7) 在 “筛选 器 属性 ”对 话 框 中 ， 源 地 址 选择 “任何 了 P 地 址 ”目标 地 址 选择 “我 的 


IP 地 址 ” 如 图 13.17 所 示 。 


EEC :> 
二 2 这 样 , 多 个 子 网 、IF 地 址 和 协议 可 被 
名 称 吕 : 
新 IP 第 选 器 列表 
搞 坟 加: 添加 QQ). 

了 | 编 各 

第 选 器 6) : 厂 使 用 “添加 向 导 ”Q) 
镜像 ”| 描述 | 通讯 协议 | 源 满口 目标 是 个 
| I 


CD 到 |， 


13.16 添加 新 的 筛选 器 


锋 胎 了 Jindows 打 作 系 乡 交会 矶 村 


风疹 人 委 会 与 合理 ( 谎 二 族 ) 


系 先 回 尾 性 ald 
寻 址 | 协议 | 描述 | 
源 地 址 G) 


CE WE 
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目标 地 址 上) 
| 我 的 IP 地 址 


厂 镜像 。 同 时 匹配 具有 正好 相反 的 源 和 目标 地 址 的 数据 包 0)。 


Cm | mw | 
图 13.17 ”筛选 器 属性 


(8) 选择 “协议 ”选项 卡 , 在 “选择 协议 类 型 ” 下拉 列 表 中 选中 TCP 选项 , 浅 色 的 “ 设 
置 卫 协议 端口 ”选项 区 域 会 变 成 可 选 ， 选 中 “到 此 端口 ” 单 选 按钮 ， 并 在 下 边 的 文本 框 中 
输入 135， 然 后 单 击 “ 确 定 ” 按 钮 ， 如 图 13.18 所 示 。 


图 13.18 ”添加 屏蔽 TCP 135 (RPC) 端口 的 筛选 器 


(9) 回 到 “ITP 筛选 器 列表 ”对 话 框 , 可 以 看 到 已 经 添加 了 一 条 策略 , 继续 添加 TCP 137、 
139、445、593 端口 和 UDP 135、139、445 端口 。 由 于 目前 某 些 蠕虫 病毒 会 扫描 计算 机 的 
TCP 1025、2745、3127、6129 端口 ， 因 此 可 以 暂时 添加 这 些 端口 的 屏蔽 策略 ， 丢 弃 访问 这 
些 端口 的 数据 包 ， 不 作 响 应 ， 减 少 由 此 对 上 网 造成 的 影响 。 单 击 “ 关 闭 ” 按 钮 ， 如 图 13.19 


所 示 。 


IP 筛选 器 列表 


了 >x| 
EE 用 家 成 . 这 样 ， 多 个 于 网、 卫 地 址 和 内 议 可 这 


淆 
人 个 亚 地 址 > 
< 任何 IP 地 址 > 《| 


图 13.19 重复 操作 步骤 ， 添 加 各 端口 筛选 


(10) 在 “新 规则 属性 ”对 话 框 中 选择 “新 卫 筛选 器 列表 ” 单 选 按钮 ， 然 后 选择 “得 
选 器 操作 ”选项 卡 ， 如 图 13.20 所 示 。 


四 
Ix 


指定 了 哪个 网 络 传输 将 用 此 规则 保护 。 


Om ICHP 通讯 量 


但 
新 IF 第 选 器 列 


匹配 这 人 台 计算 机 和 其 它 任何 计 . 
除了 广播 、 多 播 、Kerberos、BR. 


添加 0)... | ”编辑 邓 ). 删除 全 ) 


天 | | 二 


图 13.20 激活 “新 四 入选 器 列表 ” 


(11) 在 “筛选 器 操作 ”选项 卡 中 ， 使 “使 用 “添加 向 导 "” 复 选 框 不 被 选中 ， 然 后 单 
击 “添加 ”按钮 ， 如 图 13.21 所 示 。 


地 机 洪 


颁 哈 3 Windows 厅 作 系 乡 交会 矶 村 


网 缘 颁 会 与 合理 ( 谎 二 把 ) 


[sk 


所作 和 人 六法 | 有 时 | 这 s| 


指 忘 了 此 规则 是 否 协 商 及 如 何 来 保证 


图 13.21 添加 筛选 器 操作 


(12) 在 “新 筛选 器 操作 属性 ”对 话 框 中 的 “安全 措施 ”选项 卡 中 选择 “阻止 ” 单 选 
按钮 ， 然 后 单 击 “ 确 定 ” 按 钮 ， 如 图 13.22 所 示 。 

(13) 在 “新 规则 属性 ”对 话 框 中 可 以 看 到 有 一 个 “新 筛选 器 操作 ” 单 选 按钮 ， 选 中 
这 个 单 选 按钮 ， 然 后 单 击 “ 关 闭 ” 按 钮 ， 如 图 13.23 所 示 。 


| EETT ? 
新 簿 选 轩 操 作 尾 性 加 加 x 
or JF 第 过 器 列表 ”第 选 器 操作 | 身份 验证 方法 | 隧道 设置 | 连接 类 型 | 
安全 措施 | 常规 | 
人 we 让 人 8 定 了 此 规则 是 否 细 商 及 加 各 末 保 让 
人 阻 正 记 ) 
小 第 达 器 操作 EE): 
安全 措施 利 王 5 订 加 ) A 
类 型 MH 完整 性 。 | ESP 加 密 | HEE 
编辑 人 E] 可 
二 滞 
于 移 面 
后 i ED 
所 接受 不 安全 的 通讯 ， 但 总 是 用 IFSec 响应 代 ) 
证 允许 和 不 支持 IFSec 的 计算 机 进行 不 安全 的 通讯 四 
后 会 话 密 钥 完全 向 前 保密 全) 
ee 
《|[_ 确定 ”|》 取消 用 的 
ee— 


图 13.22 添加 “阻止 ”操作 图 13.23 激活 “新 筛选 器 操作 ” 


(14) 回 到 “新 他 安全 策略 属性 ”对 话 框 ， 单 击 “ 关 闭 ” 按 钮 ， 如 图 13.24 所 示 。 
(15) 返回 到 “本 地 安全 设置 ”窗口 ， 用 鼠标 右键 单 击 新 添加 的 人 P 安全 策略 ， 从 弹出 


的 快捷 菜单 中 选择 “指派 ”命令 ， 如 图 13.25 所 示 。 


新 安全 策略 必 性 ?jx 
规则 | 第 规 | 
i 
亚 安全 规则 吕 ) CE Er 
BR ME ee no 于 | te ee PEE 
De WR Ee 本 eg | Er 
)..， 理 
再 
否 
| ] »| 
[村 可 J 二 四 | | 三 代目“ 添加 "OD 
CL Ry 
图 13.24 关闭 “新 四 安全 策略 属性 ”对 话 框 图 13.25 ”指派 新 的 了 P 安全 策略 


13.6 ”本 地 安全 策略 设置 


13.6.1 账户 策略 


在 网 络 中 ， 由 于 用 户 名 和 密码 过 于 简单 导致 的 安全 性 问题 比较 突出 ， 当 有 些 人 在 攻击 
网 络 系统 时 也 把 破解 管理 员 密 码 作 为 一 个 主要 的 攻击 日 标 ， 账 户 策略 可 以 通过 设置 密码 策 
略 和 账户 锁定 策略 来 提高 账户 密码 的 安全 级 别 。 

打开 “控制 面板 ”一 “管理 工具 ”一 “本 地 安全 策略 ”， 选 择 “ 上 账户 策略 ” 然后 双击 
“密码 策略 ” 用 于 决定 系统 密码 的 安全 规则 和 设 
置 ， 如 图 13.26 所 示 。 


其 中 ,符合 复杂 性 要 求 的 密码 是 具有 相当 长 |。 i 
度 ， 同 时 含有 数字 、 大 小 写字 母 和 特殊 字符 的 序 |， 光 怠 。 BE 
列 。 双 击 其 中 每 一 项 ， 可 按照 需要 改变 密码 特殊 | :3 om 
的 设置 。 

(1) 双击 “密码 必须 符合 复杂 性 要 求 ” gp 
择 “启用 ”。 打开 “控制 面板 ”中 的 a 0 


选项 ， 在 弹出 的 对 话 框 中 选择 一 个 用 户 后 单 击 “ 创 建 密码 ”按钮 ， 在 出 现 的 设置 密码 窗口 
中 输入 密码 ， 此 时 密码 符合 设置 的 密码 要 求 。 
(2) 双击 “密码 长 度 最 小 值 ” 在 弹出 的 对 话 框 中 可 设置 被 系统 接纳 的 账户 密码 长 度 
最 小 值 。 一 般 为 达到 较 高 安全 性 ， 密 码 长 度 最 小 值 为 8。 
(3) 双击 “密码 最 长 存留 期 ” 在 对 话 框 中 设置 系统 要 求 的 账户 密码 的 最 长 使 用 期 限 
为 42 天 。 设置 密码 自动 保留 期 用 来 提醒 用 户 定期 修改 密码 ,防止 密码 使 用 时 间 过 长 带 来 
的 安全 问题 。 


颁 丛 3 Windows 胡 作 孙 统 失 交会 寿 团 


怡 稳 交会 与 管理 (过 - 二 猎 ) 


(4) 双击 “密码 最 短 存留 期 ” 设置 密码 最 短 存留 期 为 7 天 。 在 密码 最 短 保留 期 内 用 
户 不 能 修改 密码 ， 避 免 入 侵 的 攻击 者 修改 账户 密码 。 

(5) 双击 “强制 密码 历史 ”和 “为 域 中 所 有 用 户 使 用 可 还 原 的 加 密 存 储 密码 ” 在 相 
继 弹出 的 类 似 对 话 框 中 设置 让 系统 记 住 的 密码 数量 和 是 否 设置 加 密 存储 密码 。 
13.6.2 ”账户 锁定 策略 

为 了 防止 他 人 进入 计算 机 时 反复 猜测 密码 进行 登录 ， 可 以 锁定 无 效 登录 ， 当 密码 输入 
错误 达 设 定 次 数 后 便 锁定 此 账户 ， 在 一 定时 间 内 不 能 再 以 该 账户 登录 。 

选择 “安全 设置 ”一 “账户 策略 ”一 “账户 锁定 策略 ”节点 ， 打 开 “ 账 户 锁定 阔 值 属 
性 ”对 话 框 ， 设 置 三 次 无 效 登录 就 锁 住 账 号 ， 如 图 13.27 所 示 。 


对 安全 设置 | 第 路 ， 安全 设置 
日 国 帐户 策略 | 辆 复位 帐 忆 着 定 计数 器 不 适用 

田 国志 码 第 略 | 辆 帐 忆 锁定 时 间 不 适用 
_ 马 鲍 帐户 钙 定 策略 。。 | 阐 帐 户 馈 定 网 什 0 次 无效 登 录 
日 多 本 地 策略 

田 国 审核 策略 | 帐户 锁定 闵 值 属性 

用 户 权利 指派 

四 国安 全 过 项 不 地 安全 设置 | 解 入 此 设置 
由 国 公 钥 第 略 
四 国 软件 限制 策 略 | fe 


田 偶 IT 安全 策略 ， 在 本 地 i 


在 发 生 以 下 情况 之 后 ,锁定 帐户 
a 六 | 次 无 效 登录 


图 13.27 设置 锁定 阔 值 
复位 账户 锁定 计数 器 (确定 30 分 钟 以 后 )、 账 户 锁定 时 间 (确定 30 分 钟 ) 如 图 13.28 
所 示 。 


建议 的 数值 改动 加 
最 帐 铅 定 网 的 政信 现在 是 3 次 无 营 录 ， 下 列 项 目的 设置 才 会 改 成 建议 的 数 


策略 数据 库 设置 建议 的 设置 
国 复 位 帐户 锐 定 计数 器 不 适用 30 分钟 之 后 
| 辆 帐户 锁定 时 间 不 适用 30 分 名 
| 四 | 团 


图 13.28 锁定 计数 器 与 时 间 


13.6.3 ”审核 策略 


审核 策略 可 以 帮助 用 户 发 现 非法 入 侵 者 的 一 举 一 动 ， 还 可 以 作为 用 户 将 来 追查 黑客 的 
依据 。 

选择 “管理 工具 ”一 “安全 设置 ”一 “本 地 策略 ”一 “审核 策略 ”节点 ， 把 审核 策略 
设置 为 图 13.29 所 示 内 容 。 


然后 再 选择 “控制 面板 ”一 “管理 工具 ”一 


芭 安全 设置 
由 -的 帐户 策略 
日 个 本 地 策略 
审核 策略 
田 全 用 户 权利 指派 


由 - 国 软件 限制 策略 
遇 I 安全 策略 ,在 本 地 


策略 “ 
项 审核 策略 更 改 
国 审 核 党 录 事 件 
葬 审 核对 象 访问 
的 审核 过 程 追踪 


的 审核 目录 服务 访问 


的 审 核 特权 使 用 
国 审 核 系统 事件 


国定 核 帐户 登录 事件 
册 审核 


图 13.29 审核 策略 设置 


“事件 查看 器 ”。 


应 用 程序 设置 : 右键 单 击 “应 用 程序 ”从 弹出 的 快捷 菜单 中 选择 “属性 ”命令 ， 将 日 
志 大 小 上 限 设置 为 S12KB， 选 择 “不 改写 事件 ” 单 选 按钮 。 

安全 性 设置 : 右键 单 击 “ 安 全 性 ”， 从 弹出 的 快捷 菜单 中 选择 “属性 ”命令 ， 将 日 志 
大 小 上 限 设置 为 S12KB， 选 择 “不 改写 事件 ” 单 选 按钮 。 

系统 设置 : 右键 单 击 “ 系 统 ”， 从 弹出 的 快捷 菜单 中 选择 “属性 ”命令 ， 将 日 志 大 小 


上 限 设 置 为 S12KB， 选 择 “ 不 改写 事件 ” 单 选 按钮 。 


13.6.4 ”安全 网 项 


安全 选项 是 作为 增强 Windows 安全 的 最 佳 做 法 ， 同 时 也 为 攻击 者 设置 更 多 的 障碍 ， 以 
减少 对 Windows 的 攻击 的 重要 系统 安全 工具 。 在 “本 地 策略 ”一 “安全 选项 ”中 进行 如 下 


设置 ， 


。 交互 式 登 录 : 不 显示 上 次 的 用 户 名 (设置 为 启用 )。 


网 络 访问 : 
网 络 访问 : 
网 络 访问 : 
网 络 访问 : 
网 络 访问 : 


| 


网 络 访问 : 
网 络 访问 : 
网 络 安全 : 


5 


不 允许 SAM 账户 的 匿名 枚 举 ( 设 置 为 “启用 ”)。 

让 “每 个 人 ”权限 应 用 于 匿名 用 户 《〈 设 置 为 关闭 )。 

[匿名 访问 的 共享 (将 后 面 的 值 删除 )。 

| 匿名 访问 的 命名 管道 (将 后 面 的 值 删除 )。 

J 远程 访问 的 注册 表 路 径 〈 将 后 面 的 值 删 除 )。 

J 远程 访问 的 注册 表 的 子路 径 〈 将 后 面 的 值 删 除 )。 

限制 匿名 访问 命名 管道 和 共享 (将 后 面 的 值 删 除 )。 

不 要 在 下 次 更 改 密码 时 存储 LAN Manager 的 Hash 值 (设置 为 “启用 ”)。 
关机 : 清理 虚拟 内 存 页 面 文件 〈 设 置 为 “ 启 月 


上 日 ”) 。 


关机 : 允许 在 未 登录 前 关机 (设置 为 “关闭 ”)。 


账户 : 


| 


13.6.5 用户 权利 指派 策略 
选择 “管理 工具 ”一 “本 地 安全 策略 ”一 “本 地 策略 ”一 “用 户 权利 指派 ”， 如 图 13.30 


所 示 。 


和 E 命 名 系统 管理 员 账 户 〈 确 定 一 个 新 名 字 )。 
账户 ， 重 命名 来 宾 账 户 确 定 一 个 新 名 字 )。 


受难 了 Windows 克 傣 天 颖 朱 妆 会 雁 杜 


地 机 洪 


风疹 颁 会 与 清理 ( 谎 二 把 ) 


安全 设置 
Administrators,... 
LDCAL SERVICE,N... 
办 国 
人 
Ee Ere 计算 机 
由 | 时 Administrators, 
四 轴 严 < 在 本 地 i 加 从 网 沪 间 和 
国人 请 系 护 强制 关机 
| 圈 调 过 程序 Administrators 
| 辆 调整 进程 的 内 存 配额 LOCAL SERVICE, 机 
| 加 更 疏 系 统 时 间 Adninistrators, ... 
| 辆 关闭 系统 inistrators, 
管理 审核 和 安全 日 志 
国 还 原文 件 和 目录 
加 拒绝 本 地 时 录 
玫 凡 想 纺 从 网 络 访问 这 台 计算 机 


图 13.30 用户 权利 指派 


(1) 从 网 络 访问 此 计算 机 : 一 般 默 认 有 5 个 用 户 ， 除 Administrators 外 删除 其 他 4 个 。 
当然 ， 接 下 来 还 得 创建 一 个 属于 自己 的 IJD。 

(2) 从 远 端 系统 强制 关机 : Admin 账户 也 删除 ， 一 个 都 不 留 。 

(3) 拒绝 从 网 络 访问 这 台 计 算 机 : 将 全 部 账户 都 删除 。 

(4) 从 网 络 访问 此 计算 机 : 如 果 不 使 用 类 似 3389 服务 的 话 ，Admin 也 可 删除 ， 其 他 
全 部 账户 都 删除 。 

(5) 允许 通过 终端 服务 登录 Admin 账户 也 删除 ， 一 个 都 不 留 。 


13.7 用 户 策 上 略 


选择 “管理 工具 ”一 “计算 机 管理 ”一 “系统 工具 ”一 “本 地 用 户 和 组 ”一 “用 户 ”， 
如 图 13.31 所 示 。 


加 计算 机 管理 本地) 名 称 全 名 描述 
日 葵 系 芒 工具 国 _mware user ep Ware Veer 
加 末 # 查 看 器 时 hininistrator 系统 管理 员 
中 人 轧 ses 供 来 宾 访问 计算 机 或 i 
3 有 - HelpAssistant 远程 桌面 助手 帐户 提供 远程 协助 的 帐户 
SUPPORT_388945a0 CN=Wi crosoft Corporat. .， 这 是 一 个 帮助 和 支持 有 
和 WUSR_FC-200811211103 VSA Server Account Visual Studio Anal3 
设备 管理 加 
图 13.31 用 户 策略 


1. 停 掉 Guest 账号 

在 “计算 机 管理 ”一 “系统 工具 ”一 “本 地 用 户 和 组 ”一 “用 户 ” 里 面 把 Guest 账号 
停 用 掉 ， 任 何 时 候 都 不 允许 Guest 账号 登录 系统 。 为 了 保险 起 见 ， 最 好 给 Guest 加 一 个 复 
杂 的 密码 。 如 果 要 启动 Guest 账号 ， 一 定 要 查看 该 账号 的 权限 ， 只 能 以 受 限 权限 运行 。 

打开 “控制 面板 ”中 的 “管理 工具 ”， 选 中 “计算 机 管理 ”一 “系统 工具 ”一 “本 地 
用 户 和 组 ”一 “用 户 ”， 右键 单 击 Guest 账户 ， 从 弹出 的 快捷 菜单 中 选择 “属性 ”命令 ， 
在 弹出 的 对 话 框 中 选中 “账户 已 停 用 ” 复 选 框 。 单 击 “ 确 定 ” 按 钮 ， 观 察 Guest 前 的 图 标 


变化 ， 并 再 次 使 用 Guest 用 户 登录 ， 记 录 显 示 的 信息 。 
2. 限制 不 必要 的 用 户 数量 
删除 所 有 的 duplicate user 账户 、 测 试用 账户 、 共 享 账 号 、 普 通 部 门 账号 等 。 用 户 组 策 
略 设置 相应 权限 ， 并 且 经 常 检查 系统 的 账户 ， 删 除 已 经 不 再 使 用 的 账户 。 这 些 账户 很 多 时 
候 都 是 黑客 们 入 侵 系 统 的 突破 口 ， 系 统 的 账户 起 多， 黑客 们 得 到 合法 用 户 的 权限 可 能 性 也 
就 越 大 。 
3. Administrator 账号 改名 
把 系统 Administrator 账号 改名 ，Windows XP 的 Administrator 用 户 是 不 能 被 停 用 的 ， 
这 意味 着 别人 可 以 一 遍 又 一 遍地 尝试 这 个 用 户 的 密码 。 尽 量 把 它 伪装 成 普通 用 户 ， 如 改 成 
Usera。 
4. 创建 一 个 陷阱 用 户 
创建 一 个 名 为 Administrator 的 本 地 用 户 ， 把 它 的 权限 设置 成 最 低 ， 什 么 事 也 干 不 了 ， 
且 加 上 一 个 超过 10 位 的 超级 复杂 密码 。 


13.8 ”安全 模板 设置 


13.8.1 启用 安全 模板 


启用 前 ， 先 记录 当前 系统 的 账户 策略 和 审核 日 志 状态 ， 以 便于 同 实验 后 的 设置 进行 
比较 。 

(1) 选择 “开始 ”一 “运行 ”命令 ， 在 打开 的 对 话 框 中 输入 mmc， 打 开 系 统 控制 台 。 

(2) 选择 “文件 ”一 “添加 /删除 管理 单元 ”命令 ， 在 打开 的 “添加 /删除 管理 单元 ” 
对 话 框 中 单 击 “添加 ”按钮 ,在 弹出 的 窗口 中 分 别 选 择 “ 安 全 模板 ”和 “安全 配置 和 分 析 ”， 
单 击 “ 添 加 ”按钮 后 关闭 窗口 ， 并 单 击 “ 确 定 ” 按 钮 ， 如 图 13.32 所 示 。 


添加 独立 管理 单元 
可 用 的 银 立 管理 单元 : = 
管理 单元 供应 商 | 
Web 地 址 的 链接 Microsoft Corpora. 
WI 控件 Microsoft Corpora. 


Microsoft Corpora. 


坝 磁 委 碎 片 整理 程序 
入 服 务 


Spon er 它 用 安全 模板 文件 来 提供 
Windows 计 : 。 


图 13.32 添加 控制 模块 


(3) 此 时 系统 控制 台中 根 节点 下 添加 了 “安全 模板 ”和 “安全 配置 和 分 析 ” 两 个 文件 


颁 哈 3 Windows 厅 估 天 纤 扩 安生 矶 村 


风疹 人 委 会 与 合理 ( 谎 二 族 ) 


夹 ， 打 开 “ 安 全 模板 ”文件 夹 ， 可 以 看 到 系统 中 存在 的 安全 模板 ， 如 图 13.33 所 示 。 碳 键 
单 击 模板 名 称 ， 从 弹出 的 快捷 菜单 中 选择 “设置 描述 ”命令 , 可 以 看 到 该 模板 的 相关 信息 。 


选择 “打开 ” 右 


侧 窗 口 出 现 该 模板 的 安全 策略 ， 双 击 每 个 安全 策略 可 以 看 到 其 相关 配置 。 


而 控制 台 根 节点 \ 安 全 模板 \C: \¥INDO¥S\security\tenplates 


四 控制 台 根 节点 名 称 多 
于 全 安 二 | 国 eonpawws 放松 用 户 姐 的 默认 文件 和 注册 表 权 限 ， 合 之。 
晶 国 忆 YITIDOWS\secority\tenplates | Bhisecae securede 的 超 集 。 对 Lanllanager 身份 验证 
日 M SR 的 超 集 。 对 Lanllanager 身份 验证 
人 ts 将 怠 认 的 根 目录 权限 运用 于 0S 磁盘 分 区 并 . 
全 本 长 全 | 园 :ecwrede 提供 增强 的 域 隆 户 策略 ， 限 制 Lanllanager 
人 | ee 提供 增强 的 本 地 账户 策略 ， 限 制 Lanllan 身 . 
[有 setup security 全 新 安装 系统 的 默认 安全 设置 
由 setup security | 
本 安全 配置 和 分 析 | 


< 


EI 4 | 加 | 


图 13.33 ”安全 模板 


(4) 右键 单 击 “ 安 全 配置 和 分 析 ”， 从 弹出 的 快捷 菜单 中 选择 “打开 数据 库 ” 命 令 ， 
在 弹出 的 对 话 框 中 输入 预 建安 全 数据 库 的 名 称 , 例如 起 名 为 mycomputersdb， 单 击 “ 打 开 ” 
按钮 ， 在 弹出 的 窗口 中 根据 计算 机 准备 配置 成 的 安全 级 别 选择 一 个 安全 模板 将 其 导入 。 

(5) 右键 单 击 “ 安 全 配置 和 分 析 ” 从 弹出 的 快捷 菜单 中 选择 “立即 分 析 计 算 机 ” 命 


令 ， 单 击 “ 确 定 ” 


按钮 ， 系 统 开始 按照 步骤 (4) 中 选 定 的 安全 模板 对 当前 系统 的 安全 设置 


是 否 符合 要 求 进行 分 析 ， 并 将 分 析 结 果 记 录 在 实验 报告 
(6) 右键 单 击 “ 安 全 配置 和 分 析 ”， 从 弹出 的 快捷 菜单 中 选择 “立即 配置 计算 机 ” 命 


令 ， 按 照 第 (4) 


步 中 所 选 的 安全 模板 的 要 求 对 当前 系统 进行 配置 。 


(7) 在 实验 报告 中 记录 实验 前 系统 的 缺 省 配置 ， 接 着 记录 启用 安全 模板 后 系统 的 安全 
设置 ， 记 录 下 比较 和 分 析 的 结果 。 


13.8.2 ”新 建安 全 模板 
(1) 展开 “安全 模板 ”右键 单 击 模板 所 在 路 经 ， 从 弹出 的 快捷 菜单 中 选择 “新 加 模 


板 ” 命 令 ， 在 弹 


的 对 话 框 中 添 如 预 加 入 的 模板 名 称 mytem， 在 “安全 模板 描述 ”文本 框 


中 填 入 “ 自 设 模板 ”查看 新 加 模板 是 否 出 现在 模板 列表 中 。 
(2) 双击 mytem， 在 现实 的 安全 策略 列表 中 双击 “账户 策略 ”下 的 “密码 策略 ”， 可 
发 现 其 中 任 一 项 均 显示 “没有 定义 ” 双击 预 设置 的 安全 策略 〈 如 “密码 长 度 最 小 值 ”)。 
(3) 选中 “在 模板 中 定义 这 个 策略 设置 ” 复 选 框 ， 在 文本 框 中 输入 密码 的 最 小 长 度 


为 7。 


(4) 依次 设 定 “账户 策略 ” “本 地 策略 ”等 项 目 中 的 每 项 安全 策略 ， 直 至 完成 安全 模 


板 的 设置 。 


13.9 组 策略 设置 


组 策略 是 管理 员 为 用 户 和 计算 机 定义 并 控制 程序 、 网 络 资源 及 操作 系统 行为 的 主要 工 


通过 使 用 组 策略 可 以 设置 各 种 软件 、 计 算 机 和 用 户 策略 。 
13.9.1 关闭 自动 运行 功能 

(1) 选择 “开始 ”一 “运行 ”命令 ， 在 打开 的 对 话 框 中 输入 gpeditmsc 并 运行 ， 打 开 
“组 策略 ”窗口 。 

(2) 在 左 栏 的 ““ 本 地 计算 机 ”策略 ”下 选择 “计算 机 配置 ”一 “管理 模板 ” 一 “ 系 
统 ”， 然 后 在 右 栏 的 “设置 ”下 双击 “关闭 自动 播放 ” 如 图 13.34 所 示 。 


文件 下， 操作 人 查看 WD 必 助 0 
了 固 | 困 办 忆 鳃 四 
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轩辕 系 纺 要 求 : date 设备 驱动 程序 搜索 提示 
由 国 网 络 至 少 Microsoft Windows 2000 
国 打印 机 mk 3 功能 
ee 关闭 自动 运行 功能 。 
a 
ee 
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图 13.34 关闭 自动 播放 


(3) 在 打开 的 对 话 框 中 选择 “设置 ”选项 卡 ， 选 中 “已 启用 ” 单 选 按钮 ， 然 后 在 “ 关 
闭 自动 播放 ”下 拉 列 表 中 选择 “所 有 驱动 器 ”选项 ， 单 击 “ 确 定 ” 按 钮 ， 退 出 “组 策略 ” 
窗口 ， 如 图 13.35 所 示 。 
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图 13.35 ”启动 服务 


在 “用 户 配置 ”中 同样 也 可 以 定制 这 个 “关闭 自动 播放 ”但 “计算 机 配置 ”中 的 设 
置 比 “ 用 户 配置 ”中 的 设置 范围 更 广 ， 有 助 于 多 个 用 户 都 使 用 这 样 的 设置 。 


13.9.2 ”禁止 运行 指定 程序 


系统 启动 时 一 些 程序 会 在 后 人 台 启 动 ， 这 些 程序 通过 “系统 配置 实用 程序 ”(msconfig) 
的 启动 项 无 法 阻止 ， 操 作 起 来 非常 不 便 ， 通 过 组 策略 则 非常 方便 ， 这 对 减少 系统 资源 占用 


医 胎 了 Windows 硒 估 秋 统 上 朱 妆 会 雁 杜 


风疹 人 委 会 与 合理 ( 谎 二 斤 ) 


非常 有 效 。 通 过 启用 该 策略 并 添加 相应 的 应 用 程序 就 可 以 限制 用 户 运 行 这 些 应 用 程序 。 具 
体 步 又 如 下 : 

(1) 打开 组 策略 对 象 编辑 器 ， 在 左 栏 的 ““ 本 地 计算 机 ”策略 ”下 选择 “计算 机 配置 ” 一 
“管理 模板 ”一 “系统 ”， 然 后 在 右边 的 窗 格 双击 “不 要 运行 指定 的 Windows 应 用 程序 ”。 

(2) 双击 “不 要 运行 指定 的 Windows 应 用 程序 ” 程序 如 Wegatray.exe 即 可 。 
当 用 户 试图 运行 包含 在 不 允许 运行 程序 列表 中 的 应 用 程序 时 ， 系 统 会 提示 警告 信息 。 
把 不 允许 运行 的 应 用 程序 复制 到 其 他 的 目录 和 分 区 中 仍然 是 不 能 运行 的 。 要 恢复 指定 的 受 
限 程序 的 运行 能 力 ， 可 以 将 “不 要 运行 指定 的 Windows 应 用 程序 ”策略 设置 为 “未 配置 ” 
或 “已 禁用 ” 或 者 将 指定 的 应 用 程序 从 不 允许 运行 列表 中 删除 (这 要 求 删 除 后 列表 不 会 成 
为 空白 的 )。 

这 种 方式 只 阻止 用 户 运 行 从 Windows 资源 管理 器 中 启动 的 程序 , 对 于 由 系统 过 程 或 其 
他 过 程 启动 的 程序 并 不 能 禁止 其 运行 。 该 方式 禁止 应 用 程序 的 运行 ， 其 用 户 对 象 的 作用 范 
围 是 所 有 的 用 户 , 不 仅仅 是 受 限 用 户 , Administrators 组 中 的 账户 甚至 是 内 建 的 administrator 
账户 都 将 受到 限制 ， 因 此 给 管理 员 带 来 了 一 定 的 不 便 。 当 管理 员 需 要 执行 一 个 包含 在 不 允 
许 运行 列表 中 的 应 用 程序 时 , 需要 先 通过 组 策略 编辑 器 将 该 应 用 程序 从 不 运行 列表 中 删除 ， 
在 程序 运行 完成 后 再 将 该 程序 添加 到 不 允许 运行 程序 列表 中 。 需 要 注意 的 是 ， 不 要 将 组 策 
略 编辑 器 〈gpeditmsc) 添加 到 禁止 运行 程序 列表 中 ， 和 否则 会 造成 组 策略 的 自 锁 ， 任 何 用 户 
都 将 不 能 启动 组 策略 编辑 器 ， 也 就 不 能 对 设置 的 策略 进行 更 改 。 

提示 :如果 没 有 禁止 运行 “命令 提示 符 "程序 的 话 ， 用 户 可 以 通过 cmd 命令 ， 从 "命令 
提示 符 ” 运 行 被 禁止 的 程序 。 例 如 将 记事 本 程序 ( notepad.exe ) 添加 到 不 运行 列表 中 ， 通 过 
桌面 和 菜单 运行 该 程序 是 被 限制 的 ， 但 是 在 “命令 提示 符 ” 下 运行 notepad 命令 可 以 顺利 的 
启动 记事 本 程序 。 因 此 ， 要 彻底 的 禁止 某 个 程序 的 运行 ， 首 先 要 将 cmd.exe 添加 到 不 允许 
运行 列表 中 。 如 果 禁 止 程序 后 组 策略 无 法 使 用 ， 可 以 通过 以 下 方法 来 恢复 设置 : 重新 启动 
计算 机 ,在 启动 菜单 出 现时 按 F8 键 ， 在 Windows 高 级 选项 菜单 中 选择 “ 带 命令 行 提示 的 安 
全 模式 ”选项 ， 然 后 在 命令 提示 符 下 运行 mmc。 

在 打开 的 “控制 台 ” 窗 口中 依次 选择 “文件 ”一 “添加 /删除 管理 单元 ”命令 , 单 击 “ 添 
加 ”按钮 选择“ 组 策略 对 象 编辑 器 ”， 单 击 “ 添 加 ”按钮 ， 在 弹出 的 “选择 组 策略 对 象 ” 
对 话 框 中 单 击 “ 完 成 ”按钮 ， 然 后 单 击 “ 关 闭 ” 按 钮 ， 再 单 击 “ 确 定 ” 按 钮 ， 添 加 一 个 组 
策略 控制 台 ， 接 下 来 把 原来 的 设置 改 回来 ， 然 后 重新 进入 Windows 即 可 。 
13.9.3 ”防止 莱 单 港 露 隐 私 


在 “开始 ”菜单 中 有 一 个 “我 最 近 的 文档 ”菜单 项 ， 可 以 记录 用 户 曾 经 访问 过 的 文件 。 
这 个 功能 可 以 方便 用 户 再 次 打开 该 文件 ,但 别人 也 可 通过 此 菜单 访问 用 户 最 近 打 开 的 文档 ， 
为 安全 起 见 ， 可 屏蔽 此 项 功能 。 有 具体 操作 步骤 如 下 : 

(1) 打开 “组 策略 对 象 编辑 器 ”， 在 左 栏 的 ““ 本 地 计算 机 ”策略 ”下 选择 “用 户 配 
置 ” 一 “管理 模板 ”一 “任务 栏 和 「 开 始 」 菜 单 ”。 

(2) 分 别 在 右 侧 窗 格 中 双击 “不 要 保留 最 近 打开 文档 的 记录 ”和 “退出 时 清除 最 近 打 
开 的 文档 的 记录 ” 打开 目标 策略 属性 设置 对 话 框 。 


如 果 启 用 “退出 时 清除 最 近 打 开 的 文档 的 记录 ”设置 ， 系 统 就 会 在 用 户 注 销 时 删除 最 
近 使 用 的 文档 文件 的 快捷 方式 。 因 此 ， 用 户 登录 时 ,“ 开 始 ” 菜 单 上 的 “我 最 近 的 文档 ” 菜 
单 总 是 空 的 。 如 果 禁 用 或 不 配置 此 设置 ， 系 统 就 会 保留 文档 快捷 方式 ， 这 样 用 户 登录 时 ， 
“我 最 近 的 文档 ”菜单 中 的 内 容 与 用 户 注销 时 一 样 。 

提示 : 系统 在 “系统 驱动 器 \Documents and Settings\ 用 户 名 \ 我 最 近 的 文档 "文件 夹 中 的 用 
户 配 置 文件 中 保存 文档 快捷 方式 。 
当 没 有 选择 “从 「[ 开 始 」 菜单 删 除 最 近 的 项 目 菜单 ”和 “不 要 保留 最 近 打开 文档 的 记 
录 ” 策 略 的 任何 一 个 相关 设置 时 ， 此 项 设置 才能 使 用 。 


13.10 ”文件 加 密 系统 


每 个 人 都 有 一 些 不 希望 别人 看 到 的 东西 ， 如 学 习 计 划 、 情 书 等 ， 大 家 都 喜欢 把 它们 放 

一 个 文件 夹 里 ， 采 用 Windows 自 带 的 文件 夹 加 密 功 能 来 实现 对 文件 加 密 。NTFS 是 
Windows NT 以 上 版 本 支持 的 一 种 提供 安全 性 、 可 靠 性 的 高 级 文件 系统 。 在 Windows 2000 
和 Windows XP 中 ，NTFS 提供 诸如 文件 和 文件 夹 加 密 的 高 级 功能 。 


13.10.1 ”加密 文件 或 文件 夹 


(1) 选择 “开始 ”一 “所 有 程序 ”一 “附件 ”一 “Windows 资源 管理 器 ”命令 ， 打 开 
Windows 资源 管理 器 。 

(2) 右键 单 击 要 加 密 的 文件 或 文件 来， 从 弹出 的 快捷 菜单 中 选择 “属性 ”命令 。 

(3) 在 弹出 的 对 话 框 中 的 “常规 ”选项 卡 上 单 击 “ 高 级 ”按钮 ， 在 打开 的 “高 级 属性 ” 
对 话 框 中 选中 “加 密 内 容 以 便 保护 数据 ” 复 选 框 ， 如 图 13.36 所 示 。 

在 加 密 过 程 中 还 要 注意 以 下 几 点 

(1) 只 可 以 加 密 NTFS 分 区 卷 上 的 文件 和 文件 夹 ， 
FAT 分 区 卷 上 的 文件 和 文件 夹 无 效 。 

(2) 被 压缩 的 文件 或 文件 夹 也 可 以 加 密 。 如 果 要 加 
密 一 个 压缩 文件 或 文件 夹 ， 则 该 文件 或 文件 夹 将 会 被 
解压 。 

(3) 无 法 加 密 标记 为 “系统 ”属性 的 文件 ， 并 且 位 
于 操作 系统 根 目 录 结 构 中 的 文件 也 无 法 加 密 。 

(4) 在 加 密 文件 夹 时 ， 系 统 将 询问 是 否 要 同时 加 密 
它 的 子 文件 夹 。 如 果 单 击 “ 是 ”按钮 ， 那 么 它 的 子 文件 图 13.36 加 密 选项 
夹 也 会 被 加 密 , 以 后 所 有 添加 进 文件 夹 中 的 文件 和 子 文 
件 夹 都 将 在 添加 时 自动 加 密 。 

加 密 后 用 不 同 用 户 登 录 计 算 机 ， 查 看 加 密 文件 是 否 能 够 打开 。 


13.10.2 备份 加 密 用 户 的 证 书 


用 户 对 文件 加 密 后 ， 在 重 装 系统 或 删除 用 户 前 一 定 要 备份 加 密 用 户 的 证 书 ， 否 则 重 装 
系统 或 删除 用 户 后 加 密 文件 将 无 法 被 访问 。 


EP 请 选择 用 于 该 文件 夹 的 设置 
顺 兰 融 交 天 问 您 是 再 将 这 些 更 改 同时 应 用 于 
存档 和 编制 素 引 属性 
口 可 以 存档 文件 夹 他) 
回 为 了 块 速 搜索 ， 万 许 索引 服务 编制 流 文 件 灭 的 索引 ([) 
压 疙 或 加 密 属 性 
et [3 
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(1) 以 加 密 用 户 登 录 计 算 机 。 

(2) 选择 “开始 ”一 “运行 ”命令 ， 在 弹出 的 对 话 框 中 输入 mmc， 然 后 单 击 “ 确 定 ” 

(3) 在 “控制 台 ” 窗 口 选择 “文件 ”一 “添加 /删除 管理 单元 ”命令 ， 在 打开 的 “添加 / 
删除 管理 单元 ”对 话 框 中 单 击 “ 添 加 ”按钮 。 

(4) 打开 “添加 独立 管理 单元 ”对 话 框 ,在 “可 用 的 独立 管理 单元 ”列表 框 中 选择 “证 
书 ” 然后 单 击 “添加 ”按钮 ， 如 图 13.37 所 示 。 


添加 独立 管理 单元 Ele 
可 用 的 独立 管理 单元 
管理 单元 供应 商 航 
啤 可 移动 存储 管理 Microsoft Corpora .. 
轧 设 备 管理 器 Microsoft Corpora .. 
加 事件 查看 器 Microsoft Corpora. .. 
四 索引 服务 Microsoft Corpora .. 
国文 件 夹 Microsoft Corpora... 
翻 性 能 日 志和 警报 Microsoft Corpora .. 
Mierosoft Corpora. .. 
司 组 策略 对 象 编辑 器 Microsoft Corpora .. 
希 组 件 服务 Microsoft Corpora. 


. 


述 
nes et. 一 个 服务 的 或 一 台 计算 机 的 证 书 


图 13.37 添加 证 书 模块 


(5) 在 弹出 的 对 话 框 中 选中 “我 的 用 户 账户 ” 单 选 按钮 ， 然 后 单 击 “完成 ”按钮 。 
(6) 单 击 “ 关 闭 ” 按 钮 ， 然 后 单 击 “ 确 定 ” 按 钮 。 
(7) 选择 “证 书 -当前 用 户 ” 一 “个 人 ”一 “证 书 ” 如 图 13.38 所 示 。 
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图 13.38 ”显示 加 密 证 书 


(8) 单 击 “ 预 期 目的 ” 栏 中 显示 “加 密 文 件 系统 ”字样 的 证 书 。 
(9) 右键 单 击 该 证 书 ， 从 弹出 的 快捷 菜单 中 选择 “所 有 任务 ”一 “导出 ”命令 ， 如 
图 13.39 所 示 。 


(10) 按照 证 书 导 出 向 导 的 指示 将 证 书 及 相关 的 私 钥 以 PFX 文件 格式 导出 〈 注 意 : 推 


荐 使 用 “导出 私 钥 ” 方 式 导 出 ， 如 图 13.40 所 示 ， 这 样 可 以 保证 证 书 受 密码 保护 ， 以 防 别 
人 盗用 。 另 外 ， 证 书 只 能 保存 到 用 户 有 读 写 权 限 的 目录 下 )。 


图 13.39 ”导出 证 书 图 13.40 导出 私 钥 


(11) 保存 好 证 书 ， 将 PFX 文件 保存 好 。 以 后 重 装 系统 之 后 无 论 在 哪个 用 户 下 只 要 双 
击 这 个 证 书 文件 ， 导 入 这 个 私人 证 书 就 可 以 访问 NTFS 系统 下 由 该 证 书 的 原 用 户 加 密 的 文 
件 夹 。 

最 后 要 提 一 下 ， 这 个 证 书 还 可 以 实现 下 述 用 途 : 

(1) 给 予 不 同 用 户 访问 加 密 文件 夹 的 权限 。 

将 证 书 按 “ 导 出 私 钥 ” 方 式 导 出 ， 发 给 需要 访问 这 个 文件 夹 的 本 机 其 他 用 户 。 然 后 由 
其 他 用 户 登录 ， 导 入 该 证 书 ， 实 现 对 这 个 文件 夹 的 访问 。 

(2) 在 其 他 Windows XP 机 器 上 对 用 “备份 恢复 ”程序 备份 的 以 前 的 加 密 文件 夹 恢复 
访问 权限 。 

将 加 密 文件 夹 用 “备份 恢复 ”程序 备份 ， 然 后 把 生成 的 Backup.bkf 连同 这 个 证 书 复制 
到 另外 一 台 Windows XP 机 器 上 ， 用 “备份 恢复 ”程序 将 它 恢复 出 来 (注意 :只 能 恢复 到 
NTFS 分 区 )。 然 后 导入 证 书 ， 即 可 访问 恢复 出 来 的 文件 了 。 


13.11 文件 和 数据 的 备份 


为 了 保护 服务 器 ， 用 户 应 该 安排 对 所 有 数据 进行 定期 备份 。 建 议 安排 对 所 有 数据 〈 包 
括 服务 器 的 系统 状态 数据 ) 进行 每 周 普通 备份 。 普 通 备份 将 复制 用 户 选择 的 所 有 文件 ， 并 
将 每 个 文件 标记 为 已 备份 。 此 外 ， 还 建议 安排 进行 每 周 差异 备份 。 差 异 备份 复制 自 上 次 普 
通 备份 以 来 创建 和 更 改 的 文件 。 

13.11.1 安排 进行 每 周 普通 备份 


(1) 选择 “开始 ”一 “运行 ”命令 ， 在 打开 的 对 话 框 中 输入 ntbackup， 然 后 单 击 “ 确 
定 ” 按 钮 ， 此 时 会 出 现 “ 备 份 或 还 原 向 导 ” 对 话 框 ， 单 击 “ 下 一 步 ”按钮 。 

(2) 在 “备份 或 还 原 ”页 面 中 确保 已 选择 “备份 文件 和 设置 ” 单 选 按钮 ， 然 后 单 击 “ 下 
一 步 ”按钮 。 在 “要 备份 的 内 容 ” 页 面 中 选中 “让 我 选择 要 备份 的 内 容 ” 单 选 按钮 ， 然 后 
单 击 “ 下 一 步 ” 按 钮 。 

(3) 在 “要 备份 的 项 目 ” 页 面 上 单 击 项 目 以 展开 其 内 容 ， 选 择 包 含 应 该 定期 备份 的 数 
据 的 所 有 设备 或 文件 夹 的 复 选 框 ， 然 后 单 击 “ 下 一 步 ” 按 钮 ， 如 图 13.41 所 示 。 
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备份 或 还 原 向 导 


由 回国 我 的 文档 
由 回 蝎 网 上 邻居 


图 13.41 要 备份 的 项 目 
(4) 在 “备份 类 型 、 目 标 和 名 称 ” 页 面 中 的 “选择 保存 备份 的 位 置 ”下 拉 列 表 中 选择 
或 单 击 “ 浏 览 ” 按 钮 以 选择 保存 备份 的 位 置 。 在 “键入 这 个 备份 的 名 称 ” 文 本 框 中 为 该 备 
份 输入 一 个 描述 性 名 称 ， 然 后 单 击 “ 下 一 步 ” 按 钮 ， 如 图 13.42 所 示 。 


备份 或 还 原 向 导 [> 


图 13.42 备份 类 型 、 目 标 和 名 称 


(5) 在 “正在 完成 备份 或 还 原 向 导 ” 页 面 中 单 击 “ 高 级 ”按钮 。 在 “备份 类 型 ”页 
面 中 的 “选择 要 备份 的 类 型 ”下 拉 列 表 中 选择 “正常 ”选项 ， 然 后 单 击 “ 下 一 步 ” 按 钮 ， 
如 图 13.43 所 示 。 

(6) 在 “如 何 备份 ”页 面 中 选择 “备份 后 验证 数据 “ 复 选 框 ， 然 后 单 击 “ 下 一 步 ” 按 
钮 。 在 “备份 选项 ”页 面 中 确保 选择 了 “将 这 个 备份 附加 到 现 有 备份 ” 单 选 按钮 ， 然 后 单 
击 “ 下 一 步 ” 按 钮 ， 如 图 13.44 所 示 。 


图 13.43 备份 类 型 图 13.44 ”备份 选项 


(7) 在 “备份 时 间 ” 页 面 中 的 “什么 时 候 执行 备份 ” ”下 选择 “以 后 ” 单 选 按 钮 ， 在 
“计划 项 ”选项 区 域 中 的 “作业 名 ”文本 框 中 输入 描述 性 名 称 ， 然 后 单 击 “ 设 定 备 份 计划 ” 
按钮 ， 如 图 13.45 所 示 。 

(8) 在 “计划 作业 ”对 话 框 中 的 “计划 任务 ”下 拉 列 表 中 选择 “每 周 ” 选 项 ， 在 “ 开 
始 时 间 ” 微 调 框 中 使 用 向 上 和 向 下 第 头 键 选择 开始 备份 的 适当 时 间 。 单 击 “ 高 级 ”按钮 以 
指定 计划 任务 的 开始 日 期 和 结束 日 期 ， 或 指定 计划 任务 是 否 按照 特定 时 间 问 隔 重复 运行 。 
在 “每 周 计划 任务 ”选项 区 域 中 ,根据 需要 选择 一 天 或 几 天 以 创建 备份 ， 然 后 单 击 “ 确 定 ” 
按钮 ， 如 图 13.46 所 示 。 


图 13.45 备份 时 间 图 13.46 计划 作业 


(9) 在 “设置 账户 信息 ”对 话 框 中 的 “运行 方式 ” 文 
本 框 中 输入 域 .工作 组 和 已 授权 执行 备份 和 还 原 操作 的 帐户 
的 用 户 名 ， 使 用 DOMAIN \ usermame 或 WORKGROUP \ 
usemame 格式 。 在 “密码 ”文本 框 中 输入 用 户 账 户 的 密码 。 
在 “确认 密码 ”文本 框 中 再 次 输入 密码 ， 然 后 单 击 “ 确 定 ” 
按钮 ， 如 图 13.47 所 示 。 在 “完成 备份 或 还 原 向 导 ” 页 面 中 。。 图 1347 设置 帮 户 信息 
确认 设 惫 ， 然 后 单 击 “ 完 成 ”按钮 。 


13.11.2 ”安排 进行 每 周 差异 备份 
操作 步骤 与 普通 备份 基本 相同 ， 只 是 在 “备份 类 型 ”页 面 的 “选择 要 备份 的 类 型 ” 列 
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表 框 中 选择 “差异 ”选项 ， 然 后 单 击 “ 下 一 步 ” 按 钮 ， 如 图 13.48 所 示 。 


13.48 ”差异 备份 


13.11.3 ”从 备份 恢复 数据 


(1) 选择 “开始 ”一 “运行 ”命令 ， 在 打开 的 对 话 框 中 输入 ntbackup， 然 后 单 击 “ 确 
定 ” 按 钮 ， 此 时 会 出 现 “ 备 份 或 还 原 向 导 ” 对 话 框 ， 单 击 “ 下 一 步 ”按钮 。 

(2) 在 “备份 或 还 原 ”页 面 中 选中 “还 原文 件 和 设置 ” 单 选 按钮 ， 然 后 单 击 “ 下 一 步 ” 
按钮 。 在 “还 原 项 目 ”页 面 中 单 击 项 目 以 展开 其 内 容 ， 选 择 包含 要 还 原 的 数据 的 所 有 设备 
或 文件 夹 ， 然 后 单 击 “ 下 一 步 ”按钮 ， 如 图 13.49 所 示 。 
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图 13.49 还 原 项 目 


(3) 在 “正在 完成 备份 或 还 原 向 导 ” 页 面 中 ， 如 果 要 更 改 任何 高 级 还 原 选 项 ， 例 如 还 
原 安全 设置 和 交接 点 数据 ， 则 单 击 “ 高 级 ”按钮 。 完 成 设置 高 级 还 原 选项 后 ， 单 击 “ 确 定 ” 
按钮 ， 验 证 是 否 所 有 设置 都 正确 ， 然 后 单 击 “完成 ”按钮 。 


LN 上 mmPPD 一 


. 计算 机 中 常用 服务 都 使 用 了 哪些 端口 ? 

.如 何 建立 一 个 相对 比较 安全 的 共享 ? 

.如 何 根据 网 络 环境 不 同 快速 调整 安全 策略 ? 
.加密 证 书 如 何 保存 才 会 安全 ? 

.计算 机 中 哪些 数据 需要 定期 备份 ? 
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14.1 实验 目的 及 要 求 


14.1.1 实验 目的 


通过 实验 操作 掌握 PGP 软件 的 安装 与 基本 功能 使 用 , 对 于 加 密 软件 的 原理 具有 一 定 的 
了 解 。 能 够 实现 常用 的 加 密 功 能 。 


14.1.2 ”实验 要 求 


根据 教材 中 介绍 的 PGP 软件 的 功能 和 步骤 来 完成 实验 , 在 掌握 基本 功能 的 基础 上 , 实 
现 日 常 加 密 应 用 ， 给 出 实验 操作 报告 。 


14.1.3 ”实验 设备 及 软件 


两 台 安装 Windows 2000/XP 操作 系统 的 计算 机 , 磁盘 格式 配置 为 NTFS， 局 域 网 环境 、 
FTP 服务 器 、PGP 8.1 中 文 版 软件 。 


14.2 ”PGP 简介 与 基本 功能 


PGP (Pretty Good Privacy) 是 一 种 在 信息 安全 传输 领域 首选 的 加 密 软 件 ， 其 技术 特性 
是 采用 了 非 对 称 的 “ 公 钥 ”和 “ 私 钥 ” 加 密 体系 。 由 于 美国 对 信息 加 密 产 品 有 严格 的 法 律 
约束 ， 特 别 是 对 向 美国 、 加 拿 大 之 外 国家 散播 该 类 信息 ， 以 及 出 售 、 发 布 该 类 软件 约束 更 
为 严格 ,因此 限制 了 PGP 的 发 展 和 普及 。 现 在 该 软件 的 主要 使 用 对 象 为 情报 机 构 、 政 府 机 
构 、 信 息 安 全 工作 者 (如 较 有 水 平 的 安全 专家 和 有 一 定 资历 的 黑客 )。PGP 最 初 的 设计 主 
要 是 用 于 邮件 加 密 ， 如 今 已 经 发 展 到 了 可 以 加 密 整 个 硬盘 、 分 区 、 文 件 、 文 件 夹 ， 集 成 进 
邮件 软件 进行 邮件 加 密 , 甚至 可 以 对 ICQ 的 聊天 信息 实时 加 密 。 用 户 双 方 只 要 安装 了 PGP， 
就 可 利用 其 ICQ 加 密 组 件 在 用 户 双 方 聊天 的 同时 加 密 或 解密 ， 和 正常 使 用 没有 什么 差别 ， 
最 大 程度 地 保证 了 网 络 两 端 用 户 的 聊天 信息 不 被 窃取 或 监视 。 
14.2.1 安装 

和 其 他 软件 一 样 ， 运 行 安装 程序 后 ， 经 过 短暂 的 自 解压 准备 安装 的 过 程 后 进入 安装 界 
面 。 先 是 欢迎 信息 ， 单 击 Next 按钮 ， 然 后 是 许可 协议 ， 这 是 必须 无 条 件 接 受 的 。 单 击 Yes 
按钮 ， 进 入 提示 安装 PGP 所 需要 的 系统 ， 以 及 软件 配置 情况 的 界面 ， 建 议 阅读 一 下 ,继续 


单 击 Next 按钮 ， 出 现 创建 用 户 类 型 的 界面 ， 如 图 14.1 所 示 。 

选择 “No, ITmaNew User” 单 选 按钮 ， 这 是 告诉 安装 程序 是 新 用 户 ， 需 要 创建 并 设置 
一 个 新 的 用 户 信息 。 继 续 单 击 Next 按钮 ， 进 入 程序 的 安装 目录 窗口 〈 安 装 程序 会 自动 检测 
系统 ， 并 生成 以 系统 名 为 目录 名 的 安装 文件 夹 )， 建 议 将 PGP 安装 在 安装 程序 默认 的 目录 ， 
也 就 是 系统 盘 内 ， 程 序 很 小 ,不 会 对 系统 盘 有 什么 大 的 影响 。 再 次 单 击 Next 按钮 ， 出 现 选 
择 PGP 组 件 的 窗口 ， 安 装 程序 会 检测 系统 内 所 安装 的 程序 ， 如 果 存 在 PGP 可 以 支持 的 程 
序 ， 它 将 自动 选中 该 支持 组 件 ， 如 图 14.2 所 示 。 
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图 14.1 创建 用 户 类 型 图 14.2 选择 组 件 


第 一 个 是 磁盘 加 密 组 件 ， 第 二 个 是 ICQ 实时 加 密 组 件 ， 第 三 个 是 微软 公司 的 Outlook 
邮件 加 密 组 件 ， 第 四 个 是 Outlook Express 加 密 组 件 ， 第 五 个 Qualcomm Eudora 是 一 套 功能 
全 面 的 E-mail 客户 端 软 件 ， 第 六 个 组 件 GroupWise 是 Novell 公司 的 邮件 服务 器 。 后 面 的 
安装 过 程 就 只 需 一 直 单 击 Next 按钮 ， 最 后 再 根据 提示 重新 启动 系统 即 可 完成 安装 。 
14.2.2 创建 和 设置 初始 用 户 


重启 后 ， 进 入 系统 时 会 自动 启动 PGPtray.exe， 这 个 程序 是 用 来 控制 和 调用 PGP 的 全 
部 组 件 的 ， 如 果 没 有 必要 每 次 启动 的 时 候 都 加 载 它 ， 可 以 这 样 取消 它 的 启动 : 选择 “开始 ”一 
“所 有 程序 ”一 “启动 ”命令 ， 在 这 里 删除 PGPtray 的 快捷 方式 即 可 。 接 下 来 进入 新 用 户 创 
建 与 设置 。 启 动 PGPtray 后 ， 会 出 现 一 个 “PGP 密 钥 生成 向 导 ” 对 话 框 ， 单 击 “ 下 一 步 ” 
按钮 ， 进 入 “分 配 姓 名 和 电子 信箱 ”界面 ， 在 “全 名 ”文本 框 输入 想 要 创建 的 用 户 名 ， 在 
“E-mail 地 址 ”文本 框 中 输入 用 户 所 对 应 的 电子 邮件 地 址 ， 完 成 后 单 击 “ 下 一 步 ” 按 钮 ， 
如 图 14.3 所 示 。 

接 下 来 进入 “分 配 密码 ”界面 ， 在 “密码 ”文本 框 中 输入 需要 的 密码 ， 在 “确认 ” 文 
本 框 中 再 输入 一 次 , 长 度 必 须 大 于 8 位 , 建议 为 12 位 以 上 。 如 果 出 现 *Warning: Caps Lock 
is activated! ”的 提示 信息 ， 说 明 开 启 了 Caps Lock 键 〈 大 小 写 锁定 键 )， 按 一 下 该 键 关 闭 
大 小 写 锁定 后 再 输入 密码 ， 因 为 密码 是 要 区 分 大 小 写 的 。 最 好 别 取消 对 “隐藏 键入 ” 复 选 
框 的 勾 选 ， 这 样 就 算 有 人 在 后 面 看 着 你 输入 ， 也 不 会 那么 容易 就 让 他 知道 你 的 输入 到 底 是 
什么 ， 更 大 程度 地 保护 密码 安全 。 完 成 后 单 击 “ 下 一 步 ”按钮 ， 如 图 14.4 所 示 。 


笑 哈 4 PGP 终 件 失 倪 类 与 代用 


地 信 洪 


网 缘 颁 会 与 合理 ( 谎 二 族 ) 


PoP POP 证 胡 生成 四 守 


分 也 姓名 和 电子 信箱 人 sg 
每 一 个 密 负 对 都 有 一 个 与 其 关联 的 姓名 . 考 名 和 电子 信箱 地 址 让 你 的 条 信 人 和 首 你 的 科 钥 格 会 该 密码 保护 这些 信息 很 重要 且 是 机 窑 的 , 信 不 要 将 它 写 下 来 
地 们 正在 使 用 的 公 铀 属于 你 


去 你 的 密码 至 少 应 该 有 6 位 字符 长 度 ,并 包 全 数字 和 字母 
全 名 (BD: be 


被 关联 的 电子 信箱 地 址 和 你 的 密 钥 对 ,你 将 会 使 Pap 协助 你 的 通信 人 在 与 你 通信 回 隐 阅 键 入 (由 
时 选择 正确 的 公 钥 . PE): 


na 地址 | belsina com. en 


2 Co 
图 14.3 用 户 名 和 电子 邮件 分 配 图 14.4 密码 输入 和 确认 
进入 密 钥 生成 进程 ， 等 待 主 密 钥 (Key) 和 次 密 钥 (Subkey) 生成 完毕 。 单 击 “ 下 一 
步 ” 按 钮 ， 进 入 “完成 该 PGP 密 钥 生成 向 导 ” 界 面 ， 单 击 “ 完 成 ”按钮 ， 用 户 就 创建 并 设 
置 好 了 。 
14.2.3 导出 并 分 发 公 铀 


启动 PGPkeys， 在 这 里 将 看 到 密 钥 的 一 些 基 本 信息 ， 如 有 效 性 (PGP 系统 检查 是 否 符 
合 要 求 ， 如 符合 则 显示 为 绿色 )、 信 任 度 、 大 小 、 描 述 、 密 钥 ID、 创 建 时 间 、 到 期 时 间 等 
(如 果 没 有 那么 多 信息 ,使 用 菜单 组 里 的 “查看 ”并 选中 里 面 的 全 部 选项 ), 如 图 14.5 所 示 。 
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图 14.5 密 钥 基本 信息 


需要 注意 的 是 ， 这 里 的 用 户 其 实 是 以 一 个 “ 密 钥 对 ”形式 存在 的 ， 也 就 是 说 其 中 包含 
了 一 个 公 钥 和 一 个 私 钥 。 现 在 要 做 的 就 是 从 这 个 “ 密 钥 对 ”内 导出 包含 的 公 钥 。 选 中 并 右 
击 刚才 创建 的 用 户 ， 从 弹出 的 快捷 菜单 中 选择 “导出 ”命令 ， 在 出 现 的 保存 对 话 框 中 确认 
只 选中 了 “包含 6.0 公 钥 ”， 然 后 选择 一 个 目录 ， 再 单 击 “保存 ”按钮 ， 即 可 导出 刚才 创建 
用 户 的 公 钥 ， 扩 展 名 为 .asc。 导 出 后 就 可 以 将 此 公 钥 放 在 指定 的 网 站 上 ， 或 者 发 给 需要 的 
用 户 , 告诉 对 方 以 后 发 邮件 或 者 重要 文件 的 时 候 , 通过 PGP 使 用 此 公 钥 加 密 后 再 发 送 过 去 ， 
这 样 做 一 是 能 防止 邮件 被 人 窃取 后 阅读 而 泄露 个 人 隐私 或 者 商业 机 密 ， 二 是 能 排查 病毒 邮 
件 , 一 旦 看 到 没有 用 PGP 加 密 过 的 文件 , 或 者 是 无 法 用 私 钥 解 密 的 文件 或 邮件 ， 就 能 更 有 
针对 性 地 执行 删除 或 者 杀毒 操作 。 虽 然 比 以 前 的 文件 发 送 方式 和 邮件 阅读 方式 麻烦 一 点 ， 
但 却 能 更 安全 地 保护 隐私 或 公司 的 秘密 。 


14.2.4 导入 并 设置 其 他 人 的 公 铀 


导入 公 钥 : 直接 单 击 〈 根 据 系 统 设置 不 同 ， 单 击 或 者 双击 ) 对 方 发 给 你 的 扩展 名 为 .asc 
的 公 钥 ， 将 会 出 现 选择 公 钥 的 窗口 ， 在 这 里 能 看 到 该 公 钥 的 基本 属性 ， 如 有 效 性 、 创 建 时 
间 、 信 任 度 等 , 便于 了 解 是 否 应 该 导入 此 公 钥 。 选 好 后 单 击 “ 导 入 ”按钮 即 可 导入 进 PGP， 


如 图 14.6 所 示 。 


这 择 客 家 


区 


选择 你 想 要 导入 到 你 密 胃 环 上 的 密 钥 : 


密 钥 效 性 ”信任 度 。 大 小 


田 忆 arr 们 Xarl3rehotmailI com> 


[一 一 2048/1024 


图 14.6 导入 公 钥 


设置 公 钥 属性 : 打开 PGPkeys 就 能 在 密 钥 列表 里 看 到 刚才 导入 的 密 钥 ， 如 图 14.7 所 示 。 


区 天 

文 WE) 鲍 可 名 查看 人， 密 急 思 服 务 器 (2 用户 姐 (机 肋 L 

加 二 为 回 少 记 风电 近况 

EE 有 效 性 ”信任 度 ”大 个” 共 示 


HY Irey 《enthage2len con> 2048/1024 DIVISS key pair 
| oemraEoes 


图 14.7 


公 钥 属性 
选中 它 ， 单 击 右键 ， 从 弹出 的 快捷 菜单 中 选择 “ 密 钥 
属性 ”命令 ,这 里 能 查看 到 该 密 钥 的 全 部 信息 ， 如 是 否 是 


有 效 的 密 钥 、 是 否 可 信任 等 ， 如 图 14.8 所 示 。 | Ba 

在 这 里 ， 如 果 直 接 拉动 “不 信任 的 ”的 滑 块 到 “信任 |‖ 298 Bm 
的 ”将 会 出 现 错误 信息 。 正确 的 做 法 应 该 是 关闭 此 对 话 框 ，| sae 球 王 
然后 在 该 密 钥 上 单 击 右键 ， 从 弹出 的 快捷 菜单 中 选择 “ 签 | Sowso 
名 ”命令 ， 在 出 现 的 “PGP 密 钥 签名 ”对 话 框 中 单 击 “ 确 | sse 
定 ”按钮 ， 会 出 现 要 求 为 该 公 钥 输 入 密码 的 对 话 框 ， 这 时 | 这 。 25， 安 ， 沱 ， 
输入 设置 用 户 时 的 那个 密码 ， 然 后 继续 单 击 “ 确 定 ” 按钮 © “0 
即 完成 签名 操作 。 查 看 密码 列表 里 该 公 钥 的 属性 ， 应 该 在 | 至 = 六。 fk pa 
“有 效 性 ” 栏 显示 为 绿色 ， 表 示 该 密 钥 有 效 。 然 后 再 单 击 = 
右键 , 从 弹出 的 快捷 菜单 中 选择 “ 密 钥 属性 ”命令 , 将 “不 ee ee 


信任 的 ”处 的 滑 块 拉 到 “信任 的 ”， 再 单 击 “ 关 闭 ” 按 钮 
即 可 。 这 时 再 看 密 钥 列 表 里 的 那个 公 钥 ,“ 信 任 度 ” 处 就 


图 14.8 密 钥 的 全 部 信息 
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不 再 是 灰色 了 ， 说 明 这 个 公 钥 被 PGP 加 密 系 统 正式 接受 ,可 以 投入 使 用 了 。 关 闭 PGPkeys 
窗口 时 可 能 会 出 现 要 求 备份 的 窗口 , 建议 单 击 “ 现 在 备份 ”按钮 选择 一 个 路 径 保存 ,如 “我 
的 文档 ”( 此 备份 的 作用 是 防止 下 次 使 用 的 时 候 意 外 删除 了 重要 用 户 ， 可 以 用 此 备份 
恢复 )。 


14.2.5 ”使 用 公 钥 加 密 文件 


不 用 开启 PGPkeys, 直接 在 需要 加 密 的 文件 上 单 击 右键 , 会 看 到 一 个 叫 PGP 的 菜单 组 ， 
进入 该 菜单 组 ， 和 选择“ 加密” 命令， 将 出 现 “PGP 外 壳 - 密 钥 选择 对 话 框 ” 对 话 框 ， 如 
图 14.9 所 示 。 


中 POPI5CE 村 和 达 择 对 大 杠 


4096/1024 
4096/1024 
409611024 
409611024 


人 大 小 
史 <cnthug@21cn.com> 204811024 


厂 文本 输出 (D 
厂 输入 文本 (了 
厂 粉碎 原件 
厂 常规 加 密 (E) 
厂 自 解 密 文档 (D) 


图 14.9” 密 钥 选 择 对 话 框 


在 这 里 可 以 选择 一 个 或 者 多 个 公 钥 ， 上 面 的 窗口 是 备 选 的 公 钥 ， 下 面 窗口 是 准备 使 用 
的 公 钥 ， 双 击 备 选 窗 口中 的 某 个 公 钥 即 对 其 进行 了 加 密 操作 ， 该 公 钥 就 会 从 备 选 窗口 转 到 
准备 使 用 的 窗口 ， 已 经 在 准备 使 用 窗 内 的 ， 如 果 不 想 使 用 它 ， 也 通过 双击 的 方法 使 其 转 到 
备 选 窗口 。 选 择 好 后 单 击 “ 确 定 ”按钮 ， 经 过 PGP 的 短暂 处 理 ， 会 在 想 要 加 密 的 那个 文件 
的 同一 目录 中 生成 一 个 格式 为 “加 密 的 文件 名 .pgp” 的 文件 , 这 个 文件 就 可 以 用 来 发 送 了 。 
注意 ， 刚 才 使 用 那个 公 钥 加 密 的 文件 ， 只 能 发 给 该 公 钥 的 所 有 人 ， 别 人 无 法 解密 。 只 有 该 
公 钥 所 有 人 才 有 解密 的 私 钥 。 如 果 要 加 密 文本 文件 ， 如 txt 文件 ， 并 且 想 要 将 加 密 后 的 内 
容 作为 论坛 的 帖子 发 布 , 或 者 要 作 邮 件 内 容 发 布 , 那么 就 在 刚才 选择 公 钥 的 窗口 中 选中 “ 文 
本 输出 ” 复 选 框 ， 这 样 创建 的 加 密 文件 将 是 这 样 的 格式 :“ 加 密 的 文件 名 .asc”， 用 文本 编 
辑 器 打开 的 时 候 看 到 的 就 不 是 没有 规律 的 乱码 了 不 选择 此 复 选 框 ， 输 出 的 加 密 文件 将 是 
乱码 )， 而 是 很 有 序 的 格式 ， 便 于 复制 。 将 “测试 一 下 ”这 几 个 字 加 密 后 ， 显 示 结 果 如 
图 14.10 所 示 。 

PGP 还 支持 创建 自 解密 文档 ， 只 需要 在 刚才 选择 公 钥 的 对 话 框 中 选中 “ 自 解密 文档 ” 
复 选 框 ， 再 单 击 “ 确 定 ”按钮 ， 输 入 一 个 密码 ， 单 击 “确定 ”按钮 ， 再 确认 一 次 ， 出 现 保 


存 对 话 框 ， 选 择 一 个 位 置 保存 即 可 。 这 时 创建 的 就 是 “加 密 的 文件 名 .sda.exe” 这 样 的 文 
件 ， 这 个 功能 支持 文件 夹 加 密 ， 类 似 WinZip 及 WinRAR 的 压缩 打包 功能 。 值 得 一 提 的 是 ， 
PGP 给 文件 进行 超 强 的 加 密 之 后 ， 还 能 对 其 进行 压缩 ， 压 缩 率 比 WinRAR 小 不 了 多 少 , 非 
常 利于 网 络 传输 。 


----- BEGIN PGP NESSAGE-———— 
Yersion: PGP 


ANORIDBWUADBunIGISNS2c0B/9DEEXNISPZz8651p813szUXIXnOnkvtu2z9160 
wh4Gzv3dsgbYVUc+Ii njLYFdvUSin2UGRs/t9aohTwzHYSDHROLhI TBztoLnal 
AaYOxVTICCYAYEuDOLr6EDjej£ /LuX2yhxFBbN?75SvpuJxhKDt7+chPGEw+hNa/N 
dksGkSzJF9UA2qSPnhMNDg06hfD2JzSn2HnpTzHrEAKJZNREL14oxC+owXcDSmy9u 
rDwuMl0NHX02/0p6xr+cLJzZpYg1Y90v6F7GamnvCx46/YUK24XEIUqMu7suIqh+o 


3dazqNBpg5ea/WHITuKRqPVTEq+epPOeEY/d5Y9DGXGTcwR90c/dRS8+dFBN/uvEb45 
iWMkrEeNH37kK046Gk7W60pzfNYf4RZE+42a09ul17SRfJJBhyv8x4a40Cp6+GHack 
YNMTWBo50j86YC0Qiqtbb7KZ/pGsNRXpyzrJTNc9ws0jDq2bssTe7vXzbDYEWICX3 
PpD3rdJ04Xqy2cSDZTBbB86Yzpa5]5Y= 


图 14.10 加 密 后 的 密 文 


14.2.6 文件 、 邮 件 解 密 


使 用 PGPtray 解密 : 文本 形式 的 PGP 加 密 文件 可 以 使 用 PGPtray 的 两 种 方式 解密 。 先 
用 文本 编辑 器 打开 , 会 看 到 类 似 图 14.10 里 的 字符 , 在 右 F 脚 as-=5=40 国 国 国 


找到 PGPtray 图 标 〈 锁 的 形状 ) 右 击 ， 从 弹出 的 快捷 菜单 中 选 | 
择 “ 当 前 窗口 ”一 “解密 & 校 验 ”命令 ， 如 图 14.11 所 示 。 | 
根据 提示 输入 密码 ， 单 击 OK 按钮 ， 就 会 弹出 文本 查看 TAD 


器 ， 显 示 出 加 密 文 本 的 明文 内 容 ， 成 功 完成 解密 。 还 可 通过 
复制 加 密 文本 的 内 容 , 然后 在 PGPtray 图 标 上 单 击 右键 , 从 弹 
出 的 快捷 菜单 中 选择 “剪贴 板 ”一 “解密 和 校 验 ”命令 ,也 
可 以 完成 解密 。 

使 用 PGPshell 解密 ， 文本 类 型 的 加 密 文件 可 将 内 容 复 制 
后 保存 为 一 个 独立 的 文件 , 例如 “解密 .txt”， 然 后 在 文件 上 单 图 14.11 解密 和 校 验 
击 右键 ， 从 弹出 的 快捷 菜单 中 选择 PGP 一 “加 密 ” 命 令 ， 在 
弹出 的 对 话 框 中 输入 密码 ， 弹 出 保存 解密 后 文件 的 对 话 框 ， 选 择 一 个 路 径 保存 即 可 。 其 他 
类 型 的 加 密 文件 ， 重 复 上 面 PGP 一 “加 密 ” 操 作 即 可 完成 解密 。 


14.3 PGPmail 的 使 用 


14.3.1 PGPmail 简介 


PGPmail 是 用 来 加 密 保护 邮件 信息 和 文件 中 的 隐私 ， 唯 有 接收 者 通过 他 们 的 私 钥 才 能 
读 取 。 还 可 以 对 信息 和 文件 进行 数字 签名 ， 保 证 其 可 靠 性 。 签 名 可 证 实 信 息 没 有 被 任何 方 
式 的 自 改 。 
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PGP 是 由 公 钥 发 展 而 来 的 ， 是 一 个 基于 RSA 公 钥 加 密 体 系 的 邮件 加 密 软 件 ， 它 可 以 
用 来 对 邮件 加 密 以 防止 非 授权 者 阅读 ， 还 能 对 邮件 加 上 数字 签名 而 使 收 信 人 可 以 确信 邮件 
是 谁 发 来 的 。 它 让 使 用 者 可 以 安全 地 和 从 未 见 过 的 人 通信 ， 事 先 并 不 需要 任何 保密 的 渠道 
用 来 传递 密 钥 。 它 采用 了 审慎 的 密 钥 管理 ,一 种 RSA 和 传统 加 密 的 杂 合 算法 ， 用 于 数字 签 
名 的 邮件 文摘 算法 ， 加 密 前 压缩 等 ， 还 有 一 个 良好 的 人 机 工程 设计 。 它 的 功能 强大 ， 速 度 
很 快 ， 并 且 它 的 源 代码 是 公开 的 。 现 在 Intemet 上 使 用 PGP 进行 数字 签名 和 加 密 邮 件 非 常 
流行 。 

使 用 PGPmail 来 保护 E-mail。 从 PGP 程序 组 打开 PGPmail, 如 图 14.12 所 示 。PGPmail 
中 各 功能 依次 如 下 : PGPkeys、 加 密 、 签 名 、 加 密 并 签名 、 解 密 校 验 、 探 除 、 自 由 空间 探 
除 。 关 于 上 述 功 能 ， 将 在 下 面 的 PGPmail for Outlook [le es 

下 面 简 述 一 下 PGPmail 在 OE (Outlook Express) 窗 包 EE 多 ge EE 
中 的 使 用 。 或 许 是 OE 不 太 经 常 使 用 的 缘故 ，PGPmail 图 14.12 PGPmail 界面 
对 OE 附加 的 功能 不 是 太 完美 ， 例 如 不 支持 在 OE 邮件 中 加 密 HTML， 当 然 可 以 作为 附件 
的 形式 加 密 。 
14.3.2 分 发 PGP 公 角 并 发 送 PGP 加 密 邮 件 

在 使 用 PGP 加 密 通 信之 前 ， 首 先 要 把 自己 的 公 钥 分 发 给 需要 的 人 ， 这样 ， 在 他 们 给 你 
发 送 加 密 邮 件 的 时 候 使 用 你 的 公 钥 进行 加 密 ， 然 后 才能 用 你 的 私 钥 进行 解密 读 取 。 

如 图 14.13 所 示 ， 打 开 PGPkeys， 在 创建 的 密 钥 对 上 单 击 右键 ， 从 弹出 的 快捷 菜单 中 
选择 “发 送 到 ”一 “邮件 接收 入 ”命令 ， 寄 给 对 方 PGP 公 钥 。 
mr 查看 (V) 密 钥 (K) 服务 器 (3 用 户 握 (@) 帮助 (HM) Cs 


密 钥 


DN/DSS key pair 


图 14.13 ”选择 密 钥 并 发 送 加 密 邮 件 


如 果 系 统 默认 是 采用 Outlook 来 收发 邮件 的 话 ， 将 会 开启 Outlook 并 附加 了 你 的 公 钥 ， 
如 图 14.14 所 示 。 

填 入 对 方 的 邮件 地 址 ， 对 方 在 收 到 此 公 钥 后 就 能 和 你 进行 PGP 加 密 通 信 了 。 同 样 , 在 
你 收 到 对 方 PGP 公 钥 的 时 候 ， 把 附件 (PGP Public key) .asc 导入 到 你 的 PGPkey 里 面 。 


立轴 吉日 ”查看 0)” 车 AD 想 式 0) 工具 亏 生 QD 禾 Et 


X 砚 w 和 
下 可 和 。 操 销 阳 件 


[BE 


附件 是 一 个 PGF 公 后 A 
tb 交换 加 密 并 签名 邮件 ee 
Jht tp: / /ors. pap. com cn 获取 | 


图 14.14 开启 Outlook 并 附加 公 钥 


在 OE 中 ， 如 果 安 装 了 PGPmail for OutLook Express 的 插件 ， 就 可 以 看 到 了 PGPmail 加 
载 到 了 OE 的 工具 栏 里 〈 带 有 钥匙 的 按钮 )， 如 图 14.15 所 示 。 


发 件 人 er 区 5 
辣 | 广西 ro DrverDevelop 
~ | Yeu docomt at pr eT 下载 has been : 


图 14.15 Outlook 收 件 箱 
OE 创建 新 邮件 时 ， 检 查 工具 栏 中 “加 密 信 息 (PGP)” 和 “签名 信息 (PGP)” 按 钮 状 
态 是 否 已 经 按 下 ， 如 图 14.16 所 示 。 


POPMAT Testr 


文件 (E) ”编辑 (E) ”查看 WD 插入 (D 格式 0) 工具 (D 邮件 (MW) 帮助 (H) 


本 测 肤 遥 
加 坟 信 息 .| 签名 信息.| PPheys 


“HL, PGPmail Test! 
-by XaCk3r 
Http://wmw. pgp. com cn & Http://Wom. Thugx. Co 


图 14.16 检查 加 密 信息 和 签名 信息 14 
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当 书 写 完 纯 文本 的 加 密 邮 件 时 ， 填 入 对 方 E-mail 地 址 。 单 击 “ 发 送 ” 按 钮 ， 这 时 
PGPmail 将 会 对 其 使 用 主 密 钥 和 对 方 公 钥 进 行 加 密 ， 加 密 后 的 邮件 也 只 能 由 通信 双方 使 用 
自己 的 私 钥 进 行 解密 。PGPkey 会 在 服务 器 上 查找 相应 的 fgg eas 
公 钥 ， 避 免 对 方 更 新 密 钥 而 造成 无 法 收取 邮件 信息 ， 如 天 
图 14.17 所 示 。 

单 击 “ 取 消 ” 按 钮 ， 弹 出 Recipient Selection 接收 人 
选择 窗口 ， 从 上 方 的 列表 框 中 选择 相应 的 接收 者 ， 用 鼠标 图 14.17 连接 服务 器 
双击 后 添加 到 下 面 的 接收 人 列表 里 ， 如 图 14.18 所 示 。 


i 


从 用 户 列表 推 招 用 户 名 到 按 收 人 列表 


4096/1024 
2048/1024 加 


齐全 全 和 人 人 ee 


回 xray <cnthug@21cn.com> 


Some recipient keys were not found, Please find the correct recipient in the list above or double dick， 
the item to search for it on a server, 


接收 人 有 效 性 大 小 
EIroot <root@xhacker,cn> 量 2048/1024 
| 回 xacksr <x_xackar@hotmail.com> 饮 ”2048/1024 


es | 本 本 区 丁丁 


口 常规 加 密 (E) 


图 14.18 添加 接收 入 
设置 好 之 后 ， 单 击 “ 确 定 ” 按 钮 就 可 以 发 送 通过 PGP 加 密 的 邮件 。 
可 能 很 多 时 候 会 以 附件 形式 寄 出 邮件 , 这 时 打开 PGPmail, 在 PGPmail 窗口 中 单 击 “ 加 
密 ” 按 钮 ， 如 图 14.19 所 示 。 


狂 TOpFaiT 又 


回国 加 四 阿 敬 


图 14.19 在 PGPmail 界面 中 单 击 “ 加 密 ” 按 钮 


然后 选择 需要 加 密 的 文件 ， 如 图 14.20 所 示 。 

确定 后 在 弹出 的 “PGPmail- 密 钥 选择 对 话 框 对 话 框 中 选择 需要 使 用 的 公 钥 进 行 加 密 。 
在 图 14.21 中 可 以 看 到 以 下 选项 。 

。 文本 输出 : 解密 后 以 文本 形式 输出 。 

。 输入 文本 : 选择 此 项 ， 解 密 时 将 以 另存 为 文本 输入 方式 进行 加 密 。 

。 粉碎 原件 ， 加 密 后 粉碎 掉 原来 的 文件 ， 不 可 恢复 。 

。 安全 查看 器 : 只 有 用 户 的 眼睛 才能 查看 。 其 实 是 使 用 了 TEMPEST 防 攻击 字体 进行 

模糊 化 ， 是 为 了 防止 监视 设备 监视 用 户 的 显示 器 ， 应 用 到 很 多 军 方 、 政 府 领 域 。 


。 常规 加 密 : 输入 密码 后 进行 常规 加 密 ， 有 点 局 限 性 。 
。 自 解密 文档 : 继承 于 “常规 加 密 ”， 此 方式 也 经 常 使 有 用， 通常 加 密 目录 下 的 所 有 
文件 。 


号 POPFSTE 河 选 择 对 话 葵 


选择 去 加 衬 的 文件 


文件 名 四: ”| 需要 加 密 的 文件 txt 
文件 类 型 m)， | 所 有 文件 | 


图 14.20 ”选择 加 密 文件 图 14.21 密 钥 选择 对 话 框 
这 里 以 “文本 输出 ”为 例 ， 选 中 后 拖 忠 (或 双击 〉 对 方 的 公 钥 到 接收 入 列表 里 ， 单 击 
“确定 ”按钮 后 , 文件 将 以 此 公 钥 进行 加 密 , 对 方 使 用 密 钥 才能 进行 解密 。 加密 后 的 文件 *.asc 
如 图 14.22 所 示 。 


省 需要 加 密 的 文件 ,bxt 本 需要 加 密 的 交 件 ,txt,asc 
三 | 文本 文档 a| PGP Armored File 
三 1KB | 2KB 


图 14.22 ”加 密 前 后 的 文件 图 标 
在 邮件 中 加 入 此 附件 寄 出 就 可 以 了 。 
如 果 选 择 “ 安 全 查看 器 ”， 将 会 弹出 一 个 警告 窗口 ， 以 此 来 确认 使 用 “安全 查看 器 ”， 
如 图 14.23 所 示 。 
否则 的 话 取 消 即 可 ， 解 密 时 输入 密码 ， 显 示 如 图 14.24 所 示 。 


安全 音 看 尽 


PGPmail Test! 


你 正在 解密 的 信息 只 有 你 的 眼睛 可 见 . 
此 信息 被 推荐 在 最 安全 的 环境 下 才能 读 职 ， 一 by Xack3r 


copyright? Http://ww.pap.con.cn http://Www.Thugx.Com 


[| 
图 14.23 ”安全 查看 器 警告 窗口 图 14.24 ”安全 查看 器 内 容 


14.3.3 ”收取 PGP 加 密 邮 件 


连接 服务 器 并 使 用 Outlook 收取 PGP 加 密 邮 件 ， 打 开 时 如 图 14.25 所 示 。 
看 到 的 是 乱码 (PGP 加 密 后 的 信息 )， 这 时 在 任务 栏 右键 单 击 PGP 图 标 ， 在 弹出 的 快 


捷 菜 单 中 选择 “当前 窗口 ”一 “解密 & 校 验 ” 命 令 ， 如 图 14.26 所 示 。 a 
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i 
文件 E] 编 沪 EE) 查 者 (六 工具 邮件 WD) 和 帮 有 (H) 


发 件 人 : yaclar 路 御 人 : oigzhaher.cn 
主题 Papyal testl 


一 一 -BECIN FCP NESSAGE——— 
Version: FOP 8.1 


qAJIQRIDBwU4DqhlnlD11p4UQB/4yaMCIIycT65zUAFWq/jPnapFI5B9pXlFjBY 

扩 。ihozdbA0522dkCD52rHRAtnE/20Dz/atISROuFYZjTHbosprel2sDuans4 

和 erawBJJrCoielrvaaLhareiQvFeT6opTKagh0zetHteeaho2xoaJQih 国 | 
= ht ,5 圭 示 读 要 I 人 


oo 收 舍 箱 uieek Enptess 
请 得 加。 辣 看 YM) 工具 SM) 


Lu 

OI 

t- 

| 
x 


14.26 ”解密 && 校 验 
在 弹出 图 14.27 所 示 窗 口中 输入 设 定 的 密码 。 


图 14.27 输入 密码 


成 功 后 将 会 解密 邮件 信息 ， 并 弹出 文本 查看 器 窗口 ， 这 个 时 候 已 经 看 到 解密 后 的 信息 
了 ， 如 图 14.28 所 示 。 

如 果 含 有 加 密 附 件 时 ， 下 载 回来 在 本 地 打开 ， 在 图 14.29 所 示 对 话 框 中 输入 相应 的 密 
码 ， 即 可 对 文件 进行 解密 并 保存 。 


[oi Dd 


cony (Dx77AEDE44] 


sax END PGP DECRYPTED-YERTFTED NESAGE we 


Er rn 
图 14.28 文本 查看 器 窗口 图 14.29 对 文件 进行 解密 并 保存 


有 的 时 候 一 些 重要 的 数据 ， 用 户 不 希望 留 在 系统 里 面 ， 简 单 的 删除 不 能 达到 所 希望 的 
效果 , 为 了 防止 被 非 授权 的 用 户 通过 恢复 来 查看 数据 , 可 以 采用 PGPmail 来 安全 擦 除数 据 ， 
进行 多 次 反复 写 入 ， 这 样 就 可 以 达到 无 法 恢复 的 效果 ， 并 且 还 可 以 对 整个 磁盘 分 区 进行 
绪 写 。 

14.3.4 创建 自 解密 文档 


这 个 功能 经 常 被 用 到 ， 在 很 多 情况 下 用 户 收 到 了 加 密 数据 ， 但 计算 机 中 没有 安装 PGP 
软件 ， 这 个 功能 就 起 到 了 作用 ， 创 建 自 解密 后 的 文件 可 以 脱离 PGP 环境 运行 。 在 PGP 环 
境 下 ， 在 所 需要 加 密 的 文件 上 单 击 右键 ， 从 弹出 的 快捷 菜单 中 选择 PGP 一 “创建 SDA” 命 
令 ， 如 图 14.30 所 示 。 

然后 在 弹出 的 对 话 框 中 输入 密码 ， 如 图 14.31 所 示 。 


名称 ~ 大 小 类 型 
DO OEE 


as] ao | 
图 14.30 创建 SDA 图 14.31 输入 密码 


确定 后 弹出 选择 保存 文件 的 对 话 框 ， 如 图 14.32 所 示 。 
单 击 “ 保 存 ” 按 钮 ,所 在 目录 下 就 会 生成 一 个 .exe 后 级 的 文件 ,如 “创建 SDA.txt.sda.exe”， 


双击 打开 ， 如 图 14.33 所 示 。 第 
14 
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WED [Dm | PoP 目 解 富 压强 文档 
3 Emr 
六 了 

加 

@ 

a 

时 以 下 是 输出 目录 ,可 点 击 「 浏 览 ] 按钮 另 选 一 个 [0] : 隐 辣 键入 [了 ] 
申 ea EE 


图 14.32 保存 文件 图 14.33 创建 自 解压 文件 


在 图 14.33 所 示 对 话 框 中 输入 正确 密码 就 可 以 进行 解密 了 。 以 后 可 以 采用 此 加 密 方式 
来 取代 WinRAR 压缩 软件 进行 打包 ， 而 且 它 的 压缩 率 也 很 高 。 


14.4 PGPdisk 的 使 用 


14.4.1 PGPdisk 简介 


PGPdisk 是 一 个 使 用 方便 的 组 件 ， 能 够 划分 出 一 部 分 磁盘 空间 来 存储 敏感 数据 。 这 个 
专用 的 空间 用 于 创建 一 个 叫做 PGPdisk 的 卷 。 虽 然 它 是 一 个 单独 的 文件 ， 一 个 PGPdisk 卷 
却 非常 像 一 个 硬盘 分 区 来 提供 存储 文件 和 应 用 程序 。 可 以 认为 它 是 一 个 软盘 或 者 一 个 外 置 
的 硬盘 。 以 下 把 使 用 PGPdisk 卷 称 为 装配 。 

当 一 个 PGPdisk 卷 被 装配 上 去 的 时 候 ， 可 以 用 它 作 为 其 他 不 同 的 盘 。 可 以 安装 程序 在 
此 卷 下 或 者 移动 、 保 存 文件 到 卷 里 。 当 卷 被 反 装 配 时 ， 如 果 不 知道 密码 ， 将 无 法 访问 它 ， 
它 能 使 整个 卷 受 到 保护 。 它 存储 着 加 密 的 格式 ， 除 非 一 个 文件 或 者 程序 正在 使 用 。 如 果 计 
算 机 遇 到 崩溃 的 情况 ， 此 卷 的 内 容 依然 是 加 密 着 的 。 

很 多 时 候 ， 如 果 硬 盘 里 存储 着 一 些 敏 感 的 数据 ， 而 且 不 经 常 使 用 ， 那 就 可 以 创建 一 个 
PGPdisk 卷 来 加 密 这 些 便 盘 数 据 ， 需 要 时 再 装配 它 。 


14.4.2 创建 PGPdisk 


首先 在 任务 栏 右 下 角 单 击 PGPdisk 的 图 标 , 或 者 在 “开始 ”菜单 PGP 程序 组 里 面 打开 
PGPdisk， 开 始 “PGPdisk 创建 向 导 ” 如 图 14.34 所 示 。 
出 现 图 14.35 所 示 界 面 ， 这 里 概括 出 了 PGPdisk 的 基本 功能 


葡 迎 未 到 PGPdisk 创建 问 导 


rs De a 


动 复 钙 开 崩 了 网 党 关 他 了 


为 了 急于 一个 新 的 Peraie 村 人生 要 坎 和 和 要 的 大 小 更 
各 本 机 Pa 会 供用 分 和 由 分 届 , 


bE 


和 入 天 机 下 上， 


图 14.34 ”开始 创建 向 导 图 14.35 ”PGPdisk 介绍 


单 击 “ 下 一 步 ” 按钮 ,如 图 14.36 所 示 , 指定 要 存储 这 个 * pgd 文件 的 位 置 和 容量 大 小 。 
这 个 .pgd 文件 将 在 以 后 被 装配 为 一 个 卷 ， 也 可 以 理解 为 一 个 分 区 ， 需 要 时 可 以 随时 装配 
使 用 。 

这 里 单 击 “ 高 级 选项 ”按钮 进行 配置 ， 如 图 14.37 所 示 。 


PGPdisk 位 置 和 大 小 
一 个 位 置 和 大 小 .也 可 以 单 击 "高 归 选 项 进一步 
的 设置 你 的 PGPdisk 以 符合 你 的 要 求 . 


你 还 有 1053 MB 的 空闲 空间 可 用 ,注意 ,格式 化 后 的 PGPdisk 替 量 将 会 比 你 在 下 
面 千 择 的 数量 咯 小 


选择 一 个 位 置 (U; 


[esp - 


选择 大 小 (5); 


[wm 国 Iw 国 


选择 一 个 加 密 算 法 (E); 
CASTS (128 bits) 加 


选择 一 个 文件 系统 格式 


As 阅 


回 局 动 时 妾 配 g) [CaEo_] Lewo | 
图 14.36 ”指定 .pgd 文件 的 位 置 和 容量 图 14.37 ”高 级 选项 


可 以 让 它 以 一 个 分 区 形式 存在 ， 或 者 在 NTFS 分 区 上 作为 一 个 目录 ， 这 里 作为 一 个 目 
录 。 然 后 就 是 选择 算法 ， 有 三 种 密码 算法 可 供 选 择 : AES (256 位 )、CAST5 (128 位 )、 
Twofish (256 位 )。 接 下 来 选择 文件 系统 格式 ， 可 作为 FAT 或 者 NTFS 装配 使 用 。 可 以 根 
据 需要 选择 “启动 时 装配 ” 复 选 框 。 单 击 “ 确 定 ” 按 钮 后 返回 到 上 一 个 界面 ， 单 击 “ 下 一 
步 ” 按 钮 ， 确 定 保护 方法 ， 如 图 14.38 所 示 。 
PoPAISR 促 汗 巾 守 


选择 一 个 保护 方法 
人 


加 果 沈 择 密码 ,你 必须 也 输入 一 个 用 户 各 
OFF 
Oe) 


图 14.38 选择 保护 方式 


在 这 里 可 以 使 用 已 经 全 面 建 好 的 密 钥 对 ， 推 荐 就 用 自己 的 公 钥 进 行 加 密 保护 ， 这 里 使 
用 已 建立 的 公 钥 对 其 进行 加 密 保 护 。 选 择 “ 公 钥 ” 单 选 按钮 ， 单 击 “ 下 一 步 ” 按 钮 ， 如 | 第 
图 14.39 所 示 。 
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如 果 已 经 建立 过 自己 的 密 铀 ， 列 表 中 将 会 出 现 所 建立 的 密 钥 信息 ， 选 中 双击 或 者 单 击 
“下 一 步 ” 按 钮 ， 如 图 14.40 所 示 。 


PoPiiR 创 建 辐 村 POPTisK 四 建 四 学 


选择 一 个 公 铀 收集 随机 数 知 
你 pePdisk 格 会 补 一 个 公 角 保护. 读 从 下 面 的 列表 跨 押 一 个. 为 了 要 自 尘 一 个 加 守 守 多 Pe? 需要 特定 晤 ,现在 竺 会 从 你 的 恨 标 和 浸 委 收集 随 


有效 性 ”大 小 请 打字 歌 考 移 动 屎 标 ,直到 渤 朗 条 填 沽 - 
随机 数据 收入; 
100% 


EE CE wo 


图 14.39 ”选择 公 钥 图 14.40 ”收集 随机 数据 


这 个 进度 条 显示 了 PGPdisk 卷 将 被 初始 化 和 格式 化 ,并 且 通 过 鼠标 移动 进行 随机 加 密 。 
单 击 “ 下 一 步 ” 按 钮 ，PGPdisk 为 所 指定 的 卷 进行 加 密 和 格式 化 操作 ， 这 里 可 能 需要 花 点 
时 间 ， 根 据 创建 卷 的 大 小 而 定 ， 如 图 14.41 所 示 。 

至 此 基本 上 已 经 完成 了 PGPdisk 的 创建 ， 单 击 “ 下 一 步 ” 按 钮 ， 如 图 14.42 所 示 。 

Pe POPONK 人 证 辐 守 


PGPdisk 创建 进 程 完成 PGPdisk 创建 向 导 
| 放生 全 人 大 个 计生 本 AAA 


已 经 安全 娃 并 装 卫 了 一 个 新 PGpdek- 
Et ee 六 的 闪 标 名 之 前 
v 加 和 
v 正在 格式 化 


为 了 反 安 装 PGpdsle 在 资源 管理 器 中 的 碟 动 器 名 上 右 击 , 
并 违 择 PGPPGPdsk 关 联系 单 中 的 反 装 也 ,， ， 


加 要 重新 装配 ,只 需要 在 PGPdisk 文 件 上 双击 ， 
关闭 此 向 导 , 请 点 击 完成 … 


图 14.41 PGPdisk 卷 初始 化 和 格式 化 图 14.42 完成 安装 


成 功 后 如 图 14.42 所 示 ， 给 出 了 一 些 相 关 反 装配 的 信息 ， 单 击 “ 完 成 ”按钮 。 下 面 进 
行 装 配 使 用 。 
14.4.3 ”装配 使 用 PGPdisk 

前 面 已 经 创建 了 PGPdisk 卷 ， 双 击 “ 我 的 电脑 ”图 标 ， 可 以 在 D 盘 中 看 到 已 经 装配 了 
一 个 新 的 文件 夹 (PGPdisk)， 以 后 机 密 数据 都 可 以 存储 在 该 文件 夹 下 。 不 使 用 的 时 候选 择 
反 装 配 , 可 以 在 卷 上 单 击 右键 选择 “ 反 装 配 ”， 或 者 从 PGP 程序 组 里 的 PGPdisk 中 选择 “ 反 
装配 所 有 磁盘 ”， 如 图 14.43 所 示 。 


PGPdisk 对 用 户 组 提供 了 强 有 力 的 支持 ， 如 果 一 些 硬盘 分 区 或 者 移动 存储 设备 需要 提 
供给 别人 使 用 而 又 不 希望 任何 人 轻易 使 用 ， 这 就 可 以 针对 个 别 用 户 进行 权限 分 配 。 下 面 来 
使 用 PGPdisk 的 强大 功能 。 

在 图 14.43 所 示 菜 单 中 选择 PGP 一 “编辑 PGPdisk” 命 令 ， 或 者 在 创建 的 * pgd 文件 上 
单 击 右键 ， 从 弹出 的 快捷 菜单 中 选择 PGP 一 “编辑 PGPdisk” 命 令 ， 还 可 以 从 PGPdisk 中 


选择 “编辑 磁盘 ”， 进 入 图 14.44 所 示 窗 口 。 注 意 ， 在 添加 用 户 的 时 候 必须 进行 反 装配 。 


ee) 


图 14.43 反 装 配 所 有 磁盘 图 14.44 ”编辑 PGPdisk 


在 图 14.44 中 单 击 “添加 ”按钮 ， 这 时 将 会 弹出 一 个 密码 提示 框 ， 输 入 正确 的 密码 进 
入 “PGPdisk 用 户 创 建 向 导 ” 界 面 ， 如 图 14.45 所 示 。 

单 击 “下 一 步 ”按钮 ， 采 用 对 方 公 钥 或 者 密码 进行 保护 。 但 不 同 的 是 ， 可 以 指定 用 户 
的 读 写 权限 。 这 里 选择 公 钥 来 加 密 保 护 。 继 续 单 击 “ 下 一 步 ” 按 钮 ， 出 现 所 有 PGPkeys， 
如 图 14.46 所 示 。 


POP pGpdish 内 请 鹿 秆 向 分 
Ea 
欢迎 未 到 PGPdisk 用 户 创建 向 导 


pcpdek 有 能 办 让 黎 龙 光 附 加 用 户 全 用 napdah. 每 个 用户 
和 有 论 力 总 了 及 妈 六 到 铀 如 上 的 所 有 立 件 


要 下 基 , 请 上 二 下 一 步 


14.45 ”PGPdisk 用 户 创建 向 导 图 14.46 选择 公 钥 


选择 允许 访问 的 用 户 ， 也 可 以 通过 Ctrl 键 多 选 ， 然 后 单 击 “ 下 一 步 ”按钮 完成 向 导 。 
单 击 “完成 ”按钮 后 回 到 PGPdisk 管理 界面 , 在 这 里 可 以 管理 用 户 组 , 对 用 户 进 行 “ 移 除 ”、 
“禁用 ”, “固定 为 只 读 ” 等 操作 ， 如 图 14.47 所 示 。 

还 可 以 设置 一 个 管理 员 来 对 其 进行 管理 ， 前 提 是 在 添加 一 个 新 用 户 的 时 候选 择 加 密 保 | 第 
护 方式 为 密码 保护 。 14 
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I | 


图 14.47 管理 用 户 组 


14.4.4 PGP 渤 项 


1. 常规 

如 图 14.48 所 示 ,“ 总 是 用 默认 密 钥 加 密 ” 选 项 可 根据 实际 需要 选择 ， 如 果 经 常 给 其 他 
用 户 传输 文件 ， 需 要 用 其 他 用 户 的 公 钥 进行 加 密 ， 建 议 不 要 选择 此 复 选 框 。 

选中 “更 快 的 生成 密 钥 ” 复 选 框 可 减少 创建 密 钥 所 花 的 时 间 。 

在 “单一 登录 ”下 可 根据 自己 的 情况 而 设 定 ， 有 的 时 候 需 要 频繁 地 使 用 密 钥 进行 加 密 、 
解密 、 验 证 、 签 名 等 ， 如 果 每 次 都 这 样 重 复 输 入 会 很 麻烦 ， 这 个 时 候 就 可 以 使 用 密码 缓存 
功能 ， 这 样 短 时 间 内 就 不 需要 重复 地 输入 密码 了 。 

“文件 粉碎 ”主要 针对 的 是 一 些 反 删除 软件 ， 在 日 常 运用 中 的 删除 其 实 是 简单 意义 上 
的 删除 ， 数 据 还 是 存在 的 ， 一 些 反 删除 软件 就 可 以 对 其 进行 恢复 ， 所 以 PGP 里 提供 的 “ 文 
件 粉 碎 ” 是 一 个 很 不 错 的 功能 选择 ， 它 对 文件 所 在 硬盘 的 地 方 反复 写 入 数据 ， 让 一 些 反 删 
除 软件 无 能 为 力 。 


彼 S 歼 图 回 在 用 户 开 好 粉 下 前 区 涯 G) 


PGP 粉 碎 超过 DoD 和 
安全 性 继 法 增加 达到 大 约 26 次 强 写 ， 


口 册 时 自动 粉 琴 ()) 


| 


图 14.48 PGP 选项 


2. 文件 

如 图 14.49 所 示 ， 这 里 是 密 钥 环 的 位 置 ， 需 要 注意 的 是 备份 好 密 钥 环 文件 ， 手 动 或 者 
自动 都 可 以 。PGP 默认 在 系统 盘 的 My Document 下 建议 更 改 文件 夹 ,以 防止 系统 崩溃 未 能 
做 到 及 时 备份 。 这 里 有 一 个 技巧 ， 很 多 软件 都 会 往 “ 我 的 文档 ”中 写 入 一 些 数据 ， 如 果 把 
“我 的 文档 ”定向 到 其 他 分 区 就 免 去 了 每 次 转移 的 麻烦 。 


图 14.49 ” 密 钥 环 文件 


3. 邮件 

如 图 14.50 所 示 ， 选 中 “默认 签名 新 消息 ” 复 选 框 可 以 在 对 方 装 有 PGP 的 环境 下 验证 
邮件 的 有 效 性， 确认 是 否 是 你 发 出 的 ， 或 者 在 传输 过 程 中 被 第 三 方 算 改 。 

选中 “打开 信息 时 自动 解密 / 校 验 ” 复 选 框 将 更 快 更 方便 地 解密 / 校 验 邮 件 。 


口 在 发 送 Emai8j 使 用 PGPJMIME 
口 默认 加 密 新 消息 ( 昌 ) 

回 默认 签名 新 消息 ( 习 

回 打 弄 信息 时 自动 解密 | 戏 玲 (D) 
回 解 多 时 总 是 使 用 安全 查看 器 () 


回 签名 的 信息 自动 执行 (Ww) 
执行 PM) 7 


注意 ; 尽管 已 有 所 有 插件 有些 选项 可 能 依然 不 可 使 用 . 


图 14.50 ”邮件 的 设置 


4. 高 乡 第 
如 图 14.51 所 示 的 选项 很 容易 理解 ， 支 持 加 密 算法 ， 需 要 注意 的 是 前 面 提 到 的 备份 。 14 
章 


侨 哈 4 PGP 终 件 失 倪 类 与 代用 
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这 里 ， 选 中 “在 PGPkeys 关闭 时 自动 密 钥 对 备份 ” 复 选 框 ， 可 以 另外 选择 一 个 文件 夹 来 做 
备份 ， 如 图 中 的 X:\ 用 于 有 额外 的 硬盘 空间 。 

另外 补充 一 点 ， 不 要 选中 “软件 更 新 ”选项 区 域 中 的 “自动 检查 更 新 ” 复 选 枉 ， 和 否则 
会 总 是 提示 升级 到 9.0。 毕竟 现 在 PGP 9.0 还 非 正式 版 本 , 会 出 现 不 稳定 的 情况 , 而 PGP 8.1 


可 长 期 免费 使 用 。 
5. PGPdisk 


如 图 14.52 所 示 ， 某 些 情况 下 在 PGPdisk 卷 中 有 打开 的 文件 ，PGPdisk 就 无 法 反 装配 
它 ， 选 中 “允许 强制 反 装配 PGPdisk 打开 的 文件 ” 复 选 框 ， PGPdisk 将 强制 反 装 配 PGPdisk 
卷 ， 即 使 在 PGPdisk 卷 中 有 打开 的 文件 。 

建议 选中 “自动 反 装 配 ” 复 选 框 ， 并 设 定时 间 ， 在 未 使 用 的 时 候 自动 进行 反 装 配 。 但 


在 这 里 ， 如 果 PGPdisk 卷 中 有 打开 的 文件 ， 就 不 能 进行 反 装 配 。 


| : 件 | 邮 人 
加 密 


首先 算法) aE5 
沁 评 算法 
Qs 。 回 casr lpeoes EEA Twish 


信任 模型 号 出 格式 

口 旺 格 办 有 站 性 圾 KD) OS(O) 

口 视界 有 效 家 为 无 节 (w) O20) 

回 在 加 冤 密 铀 有 ADK 时 区 省 人 
多 上 支持 软件 更 新 

区 国 。 Dew 
回 在 papheys 关闭 时 自动 密 负 时 备份. 

〇 各 从 到 鹿角 文件 到 


备份 到 kW: [x [ET] 


第 规 1 文件 1 邮件 | 热 键 | 服务 器 | CA | 高 级 | PPdisk 
反 装 本 选项 
[| 


自动 反 装 配 造 项 
口 自动 反 装 也, 如果 在 分 钟 后 急 为 更 止 状态 


回 在 计算 机 进入 睡眠 状态 时 自动 反 装 也 (5) 
口 防止 在 PGPdisks 没 有 反 装 配 前 进入 睡眠 状 帮 (P) 


图 14.51 高 级 选项 


CC 本 [CC 歼 [ 酌 ] 


图 14.52 ”PGPdisk 选项 


1. 如 何 保证 密 钥 能 够 安全 的 发 布 和 交换 ? 


2. 比较 用 PGP 创建 自 解密 文档 与 用 WinRAR 创建 压缩 文件 哪个 压缩 比 高 ? 
3. PGPdisk 的 功能 和 Windows 自 带 的 文件 加 密 系统 的 区 别 是 什么 ? 


第 15 冀 ”实验 5 防火 墙 的 安装 与 使 用 


15.1 实验 目的 及 要 求 


15.1.1 实验 目的 


通过 实验 掌握 防火 墙 的 安装 过 程 、 登 录 防火 墙 Web 界面 的 方式 、 身 份 认 证 的 方式 、 管 
理 员 配置 的 主要 内 容 、 常 用 控制 功能 的 实现 等 。 


1S.1.2 ”实验 要 求 


根据 教材 中 介绍 的 操作 步骤 完成 实验 内 容 ， 详 细 观 察 操作 结果 并 记录 设置 的 内 容 ， 理 
解 设置 的 内 容 和 原理 ， 做 出 分 析 并 写 出 实验 总 结 报告 。 


1S.1.3 ”实验 设备 及 软件 
: 台 安 装 Windows 2000/XP 操作 系统 的 计算 机 ,一 台 锐 捷 防火 墙 、 相 关 证 书 、 私 钥 等 。 


15.2 ”登录 防火 墙 Web 界面 


15.2.1 管理 员 证 书 


管理 员 可 以 用 证 书 方式 进行 身份 认证 。 证 书包 括 CA 证 书 、 防火墙 证 书 、 防火墙 私 钥 、 
管理 员 证 书 。 前 三 项 必须 导入 防火 墙 中 ， 后 一 个 同时 要 导入 管理 主机 的 正中 。 

证 书 文件 有 两 种 编码 格式 : PEM 和 DER， 后 级 名 可 以 有 pem、der、cer、crt 等 多 种 ， 
后 绥 名 与 编码 格式 没有 必然 联系 。 

CA 证书、 防火 墙 证 书 和 防火 墙 私 钥 只 支持 PEM 编码 格式 ，cacert.crt 和 cacertpem 是 
完全 相同 的 文件 。 管 理 员 证 书 支持 PEM 和 DER 两 种 ， 因 此 提供 administratorcrt 和 
administrator der 证 书 ，administratorcrt 和 administratorpem 是 完全 相同 的 文件 。*.p12 文件 
是 将 CA、 证 书 和 私 钥 打 包 的 文件 。 

导入 证 书 : 

选择 正 浏览 器 中 的 “工具 ”一 “Intemet 选项 ”命令 ， 在 打开 的 “Intermet 选项 ”对 话 
框 中 选择 “内 容 ” 选 项 卡 ， 单 击 “ 证 书 ” 按 钮 ， 操 作 过 程 如 图 15.1 一 图 15.5 所 示 。 

在 “证 书 ” 对 话 框 中 单 击 “ 导 入 ”按钮 ， 如 图 15.2 所 示 。 
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分 凶 审 查 


证 书 


舒 规 【安全 | 隐 稳 ，] 内容 ”| 连接 | 程序 | 高 级 


ES 信和 近 制 在 访 计算 机 上 看 89 Toternet 
容 - 


国 ] 稽 en 


3 约 名 : 大 有 > 
下 人 基地 人 | 让 雪 证 书 霜 发 训 构 | 过 二 任 的 要 正 志 通 必 机构 | 区 信任 的 发行 者 | 《 


再 用 加 |] | 三 斌 辟 E27 E23 ET 


[RL | [器 ] [发 有 商 四 


个 人 信息 


Ee 


图 15.1 


EE 


上风 


图 15.2 导入 证 书 


在 硬盘 上 找到 证 书 所 在 目录 ， 双 击 打开 admin.p12 文件 ， 如 图 15.3 所 示 。 
在 “证 书 导入 向 导 ” 对 话 框 中 输入 缺 省 密码 (123456) 后 ， 单 击 “ 下 一 步 ” 按 钮 ， 如 


图 15.4 所 示 。 


T 开 


者 拓 苍 轿 @: [局 Anin Cort 
加 .win nl2 


图 15.3 选择 证 书 
导入 成 功 后 会 出 现 图 15.5 所 示 对 话 框 。 


口 标志 此 密 崩 为 可 导出 的 。 这 将 允许 您 在 稍 后 备份 或 传输 密 胃 中) 


CE Cm] 


图 15.4 密码 为 123456 


图 15.5 导入 成 功 后 的 状态 


的 呈 | 有 >》 “六 
入 | 并 他 人 上 中 级 证 书 倾 发 机 构 | 受 仿 任 的 根 证 书 发 机 构 | 爱 倘 任 的 发 行者 | 二 拓 
十 发 给 地 发 者 其 止 日 期 。 好 记 的 名 称 
国 B-talin BWALL 2016-9-3 E> 

EE EY 

证 书 的 预 区 目 的 

查看 
关闭 亿 


1S.2.2 ”管理 员 配 置 管理 


在 管理 主机 上 ， 通 过 电子 钥匙 认证 或 管理 员 证 书 认 证 成 功 后 才能 访问 防火 墙 ， 完 成 对 
防火 墙 的 配置 管理 。 

防火 墙 管理 IP 地 址 : 管理 员 要 在 防火 墙 上 定义 防火 墙 可 以 被 管理 的 人 P 地 址 ， 并 指定 
管理 主机 可 以 进行 的 操作 (如 允许 PING、 人 允许 TRACEROUTE 等 )。 未 指定 为 管理 I 了 P 的 
主机 不 能 管理 。 

管理 主机 地 址 限制 : 只 有 管理 主机 才能 对 防火 墙 进行 管理 。 防 火 墙 系统 指定 管理 主机 
的 瑟 ， 最 多 可 以 指定 256 个 管理 主机 ， 不 包括 集中 管理 主机 。 

管理 员 身 份 认证 方式 ;电子 钥 匙 认证 和 证 书 认证 。 

管理 员 授权 : 管理 员 有 不 同 的 身份 ， 分 为 超级 管理 员 、 配 置 管理 员 、 审 计 管 理 员 和 策 
略 管理 员 。 其 中 ,超级 管理 员 可 以 增加 、 删 除 管理 员 账 号 ; 配置 管理 员 可 以 设置 系统 配置 、 
管理 配置 、 网 络 配置 ， 策 略 管理 员 可 以 配置 对 象 定义 、 安 全 策略 ;审计 管理 员 可 以 查看 防 
火 墙 日 志 信息 。 

管理 员 访问 信道 加 密 : 为 防止 管理 员 与 防火 墙 之 间 的 管理 信息 被 非法 者 截取 而 利用 ， 
对 防火 墙 的 远程 管理 的 通信 应 该 实现 加 密 。 同 时 , 防火 墙 可 以 防止 对 远程 管理 的 重 放 攻 击 。 
CLI 界面 命令 行 方式 下 支持 SSH 加 密 ，Web 界面 下 支持 SSL 加 密 〈 使 用 https 协议 访问 防 
火 墙 )。 通 过 防火 墙 本 地 串口 使 用 超级 终端 登录 时 通信 不 加 密 。 


1S.2.3 管理 员 首 次 登录 


正确 管理 防火 墙 前 ， 需 要 配置 防火 墙 的 管理 主机 、 管 理 员 账号 和 权限 、 网 口上 可 管理 
卫 、 防 火 墙 管理 方式 。 

默认 管理 员 账 号 为 admin， 密 码 为 frewall， 默 认 管 理 口 为 防火 墙 WAN 口 。 

可 管理 耻 ，WAN 口上 的 默认 IP 地 址 为 192.168.10.100/255.255.255.0。 

管理 主机 :默认 为 192.168.10.200/255.255.255.0。 

默认 管理 方式 共有 三 类 : 

(1) 管理 主机 用 交叉 线 与 WAN 口 连接 。 

(2) 用 电子 钥匙 进行 身份 认证 。 

(3) 访问 https://192.168.10.100:6667( 注 : 车 用 证 书 进行 认证 ， 则 访问 https:// 192. 168. 
10.100:6666)。 

登录 账号 为 默认 管理 员 账 号 与 密码 ， 访 问 Web 界面 。 此 方式 下 的 配置 通信 是 加 密 的 。 


15.2.4 登录 Web 界面 


将 默认 管理 主机 的 网 口 用 交叉 连接 的 以 太 网 线 ( 两 端 线 序 不 同 ) 与 防火 墙 的 WAN 口 
连接 ,管理 主机 的 正版 本 必须 是 5.5 及 以 上 版 本 。 如 果 管理 主机 采用 电子 钥匙 认证 ， 需 要 
将 与 防火 墙 匹 配 的 电子 钥匙 插入 管理 主机 上 (USB 口 )， 正 确 输 入 电子 钥匙 PIN 码 (初始 
PIN 码 为 12345678) 后 打开 防火 墙 管理 员 身 份 认证 程序 。 如 果 出 现 绿色 图 标 表示 认证 通过 ， 
出 现 红色 图 标 表示 认证 失败 或 未 登录 。 认 证 成 功 后 在 浏览 器 中 输入 https://192.168. 


颁 丛 5 态 火 入 失 倪 类 与 代用 
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10.100:6667， 如 果 管 理 主 机 是 采用 证 书 认证 ， 选 择 要 使 用 的 数字 证 书 ， 如 图 15.6 所 示 ， 然 
后 输入 https://192.168.10.100:6666。 
登录 成 功 后 弹出 下 面 的 登录 界面 ， 如 图 15.7 所 示 。 


(mn 


图 15.6 证书 认证 图 15.7 登录 界面 


正确 输入 默认 管理 员 账 号 与 密码 ， 进 入 防火 墙 配置 管理 界面 ， 如 图 15.8 所 示 。 


初始 向 导 ” 保存 配置 导出 配置 帮助 ”退出 


接收 0 Byte) 发 送 0 (Byte) 
接收 0 (Byte) 发 送 0 (Byte) 
接收 1. 08 WByte) 发 送 470.66 (KByte) 
接收 0 (yte) 发 送 0 (Byte) 


3.6.2.0 (~ 3.6.3.33 ) 
£4824d5cf4a469eb 


192, 166. 10. 200 2015/08/08 11:17:21 
CONSOLED 2015/08/08 11:15:25 


图 15.8 ”防火墙 配置 管理 界面 


在 第 一 次 登录 成 功 后 ， 管 理 员 可 以 按 需 求 变更 管理 员 账 号 、 管 理 主机 、 防 火 墙 可 管理 
卫 、 管 理 方式 或 导入 管理 员 证 书 。 下 次 登录 时 ， 按 变更 内 容 进行 认证 与 登录 。 

当 管 理 员 完成 管理 任务 或 者 离开 管理 界面 时 ,应 主动 退出 Web 管理 界面 。 正 确 的 操作 
方法 是 单 击 快捷 菜单 最 右 端的 “退出 ”快捷 图 标 ， 这 将 通知 防火 墙 本 管理 员 退 出 操作 ， 然 
后 关闭 窗口 。 如 果 单 击 正 标题 栏 上 关闭 按钮 的 话 ， 则 只 是 关闭 了 窗口 ， 并 没有 通知 防火 墙 
该 管理 员 已 退出 管理 。 防火 墙 Web 界面 有 超时 机 制 ， 默 认 超时 时 间 为 600s， 如 果 防 火 墙 持 
续 (大 于 600s) 未 接收 到 Web 界面 操作 请 求 ， 则 超时 退出 。 

当 管 理 员 再 次 登录 时 , 要 使 管理 主机 与 防火 墙 的 某 个 网 口 连接 , 并 为 其 配置 可 管理 卫 ， 
同时 管理 员 需 要 电子 钥匙 进行 身份 认证 或 者 管理 员 证 书 方 式 认证 。 


管理 员 将 与 防火 墙 匹配 的 电子 钥匙 插入 管理 主机 上 ， 正 确 输入 电子 钥匙 PIN 码 (初始 
PIN 码 为 12345678) 后 打开 防火 墙 管理 员 身 份 认 证 程序 。 绿 图 标 表示 认证 通过 ， 红 图 标 表 
示 认 证 失败 或 未 登录 。 认 证 成 功 后 可 以 访问 https:// 防 火 墙 可 管理 IP:6667, 在 登录 界面 中 输 
入 管理 员 账 号 与 密码 ， 进 入 防火 墙 配置 管理 界面 。 

使 用 管理 员 证 书 方式 时 ， 需 要 在 防火 墙 上 导入 管理 员 证 书 ， 在 管理 主机 上 导入 管理 员 
证 书 ， 访 问 https:// 防 火 墙 可 管理 卫 :6666， 认 证 成 功 后 进入 防火 墙 配置 管理 界面 。 


15.3 ”防火 墙 实现 带宽 控制 


1S.3.1 背景 描述 


某 学 院 老师 发 现 ， 学 院 新 开通 的 100M 线路 仍然 经 常 性 的 无 法 打开 网 页 ， 经 查实 是 学 
院 的 学 生 利用 BT、FlashGet 等 软件 多 线程 下 载 , 抢占 可 用 带宽 , 造成 其 他 人 的 访问 不 正常 。 
老师 要 求 必须 在 防火 墙 上 解决 该 问题 ， 让 单个 计算 机 可 用 带宽 减少 。 
1S.3.2 ”实验 拓扑 


实验 拓扑 结构 如 图 15.9 所 示 。 


Web Server 
1.1.1.1/24 


WAN 
1.1.1.100/24 、 


PC1 PC2 
192.168.1.1/24 192.168.1.2/24 


图 15.9 带宽 控制 实验 拓扑 


1S.3.3 ”实验 原理 


利用 防火 墙 中 带宽 控制 功能 将 客户 端 对 服务 器 的 访问 带宽 控制 在 一 定 范围 内 ， 以 达到 
既 可 以 保证 网 站 被 正常 访问 ， 也 可 以 作 限 制 ， 限 制 每 个 卫 可 以 使 用 一 定数 值 的 带宽 。 


1S.3.4 “实验 步骤 
(1) 按照 拓扑 正确 配置 防火 墙 接口 和 PC 的 卫 地 址 ， 具 体 如 表 15.1 所 示 。 


侨 丛 5 万 火 兢 朱 妆 类 与 在 悄 
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设备 名 称 
Pel 

2 

Web Server 
防火 墙 LAN 
防火 墙 WAN 


表 15.1 IP 规划 表 
IP 地 址 子 网 掩 码 默认 网 关 
192.168.1.1 2515.2515.2515.0 192.168.1.100 
192.168.1.2 2515.2515.2515.0 192.168.1.100 
下 2515.2515.2515.0 1.1.1.100 
192.168.1.100 2515.2515.2515.0 192.168.1.100 
1.1.1.100 2515.2515.2515.0 1.1.1.100 


(2) 进入 防火 墙 Web 页 面 : 选择 “对 象 定义 ”一 “带宽 列表 ”命令 ， 创 建 带宽 规则 ， 
如 图 15.10 所 示 。 


ET 
* 和 名称: [Dinit ”| (1-15 位 字母 、 数 字 、 减 号 、 下 划 线 的 组 合 ) 
翩 先 级 : 砚 司 【其 先 级 人 0 至 3 傅 次 弟 尤 ) 

* 保证 带宽 : [60 | Kbps 〔 50-102400 之 间 的 整数 ) 

* 最 大 带宽 : | 320 | Kbps 〔 50-102400 之 间 的 整数 ) 

| 


图 15.10 创建 带宽 规则 


(3) 进入 防火 墙 Web 页 面 : 选择 “安全 策略 ”一 “安全 规则 ”命令 ， 为 PC1 创建 新 
的 包 过 滤 规 则 ， 在 “流量 控制 ”下 拉 列 表 中 选择 之 前 定义 的 带宽 规则 limit， 如 图 15.11 


所 示 。 


规则 名 : bwlimit (1-15 位 字母 、 数 字 、 减 号 、 下 划 线 的 组 合 ) 
手工 答 入 E 手工 葡 入 E 

源 地 址 ; IP 地 址 | 192. 168.1.1 目的 地 址 : ITP 地 址 | 1111 ] 
掩 ” 码 | 255.255.255.255 掩 码 | 255.255. 255.255] 


WEL 过 源 : - 
检查 流出 网 口 - - 
流量 控制 : imit 加 
ES 
二 2 


厂 保护 主机 厂 保护 服务 厂 限制 主机 厂 限制 服务 


图 15.11 创建 包 过 滤 规则 


(4) 进入 防火 墙 Web 页 面 : 选择 “安全 策略 ”一 “安全 规则 ”命令 ， 为 PC2 创建 新 
的 包 过 滤 规 则 ， 不 限制 带宽 ， 如 图 15.12 所 示 。 


规则 名; pfl (1-15 位 字母 、 数 字 、 减 号 、 下 区 的 组 合 ) 


[E> | 手工 驹 入 
源 地 址 : ITP 地 址 [192 166.12 ”| 目的 地 址 II 地 址 [LELL1 

掩 码 | 255.255 255 255| 掩 码 | 255 255 255 255| 
服务 : ny 日 
动作 : G 区 许 个 禁止 HL 过 小 日 
检查 流入 同 口 四 检查 流出 同 口 
时间 调度 : 日 。 关 呈 近 负 日 
用 户 认证 [a| 日 志 记 录 : La 
院 道 名 ; 口 序号 : 1 
连接 限制 厂 保护 主机 厂 保护 服务 厂 限制 主机 厂 限制 服务 

| mm 定 上 Ri | 


图 15.12 包 过 滤 规 则 


15.3.5 ”验证 测试 


(1) 在 1.1.1.1 服务 器 上 架设 Web 服务 器 ， 在 192.168.1.1 上 用 下 下 载 大 文件 ， 计 算 可 


下 载 带宽 ， 最 大 只 能 达到 320kb/s。 
(2) 在 192.168.1.2 上 用 IE 下 载 大 文件 ， 计 算 可 下 载 带宽 ， 最 大 带宽 大 于 320kb/s。 


1S.4 ”防火 墙 实 现 地址 绑 定 


1S.4.1 背景 描述 


某 学 院 老师 发 现 , 学 院 的 某 些 学 生 经 常 盗用 其 他 同学 的 他 地址 , 造成 他 人 不 能 正常 访 
问 网 络 资源 。 老 师 要 求 必 须 在 防火 墙 上 解决 该 问题 ， 避 免 盗用 地 址 的 情况 出 现 。 


1S.4.2 ”实验 拓扑 
实验 拓扑 结构 如 图 15.13 所 示 。 


Web Server 
1.1.1.1/24 
WAN 
1.1.1.100/24 
火 墙 
LAN 防火 寺 
192.168.100/24 
< 交口 
PC PC2 
192.168.1.1/24 192.168.1.2/24 
MAC: 000100010001 第 
图 15.13 地址 绑 定 实验 拓扑 全 
章 
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15.4.3 ”实验 原理 


如 果 防 火 墙 某 网 口 配 置 了 IP/MAC 地 址 绑 定 功能 ， 并 设置 了 默认 策略 允许 或 禁止 ) 
后 ， 当 该 网 口 接收 数据 包 时 ,防火墙 将 根据 数据 包 中 的 源 下 地 址 与 源 MAC 地 址 检查 管理 
员 设 置 好 的 IP/MAC 地 址 绑 定 表 。 如 果 地 址 绑 定 表 中 查找 成 功 ， 匹 配 则 允许 数据 包 通 过 ， 
不 匹配 则 禁止 数据 包 通 过 。 如 果 查 找 失败 ， 则 按 缺 省 策略 (允许 或 禁止 执行 。 


15.4.4 “实验 步骤 


(1) 按照 拓扑 正确 配置 防火 墙 接口 和 PC 的 卫 地 址 ， 具 体 如 表 15.1 所 示 。 

(2) 进入 防火 墙 配置 页 面 : 选择 “安全 策略 ”一 “地 址 绑 定 ” 命 令 ， 首 先 启 用 LAN 
接口 的 IP/MAC 绑 定 功能 ， 并 设置 默认 策略 为 允许 ， 即 如 果 为 查找 到 IP/MAC 绑 定 条 目 ， 
则 允许 数据 包 通过 。 配 置 完成 后 单 击 “ 确 定 ”按钮 ， 如 图 15.14 所 示 。 


15.14 地址 绑 定 


(3) 单 击 页 面 中 的 “添加 ”按钮 ， 如 图 15.15 所 示 。 为 PC1 手工 添加 IP/MAC 地 址 绑 
定 条 上 日 (假设 PC1 的 MAC 地 址 为 00-01-00-01-00-01)， 如 图 15.16 所 示 。 


|_ 编辑 有 册 除 | 
图 15.15 添加 绑 定 


[1s2.168.1.1 | 


| 00:01:00:01:00:01|( 用 英文 :或 英文 -分 隔 ) 


1S.4.$ ”验证 测试 
在 PC1 上 执行 ping 1.1.1.1， 可 ping 通 。 更 改 PC1 的 地 址 为 192.168.1.10， 再 次 执行 


ping 1.1.1.1， 则 无 法 ping 通 。 
15.5 ”防火 墙 实现 访问 控制 


1S.S.1 背景 描述 

某 学 院 老师 发 现 ， 学 院内 的 学 生 经 常 利用 上 课时 间 浏 览 新 闻 网 站 、QQ 聊天 、 在 线 看 
电影 等 。 老 师 要 求 网 管 针 对 该 问题 提供 网 络 解决 方案 ， 严 格 限制 学 生 上 课时 间 随 意 上 网 的 
情况 。 
1S.S.2 ”实验 拓扑 

实验 拓扑 结构 如 图 15.17 所 示 。 


Internet 


WAN 
1.1.1.100/24 


NR 


\ 
NE 
AN 六 是 扩 淡 培 
192.168.1.100/24 \ 


192.168.1.1/24 192.168.1.2/24 


192.168.1.11/24 
图 15.17 访问 控制 实验 拓扑 
15.5.3 ”实验 原理 


访问 控制 是 防火 墙 的 基本 功能 ， 可 以 基于 IP 地 址 、 服 务 端口 、 时 间 、 域 名 等 因素 进行 
严格 的 访问 控制 。 


15.5.4 ”实验 步骤 
(1) 正确 配置 防火 墙 和 PC 的 他 地 址 ， 具 体 如 表 15.2 所 示 。 


表 15.2 JP 规划 表 
设备 名 称 IP 地 址 子 网 掩 码 默认 网 关 
学 生 1 192.168.1.1 2515.2515.2515.0 192.168.1.100 
学 生 2 192.168.1.2 2515.2515.2515.0 192.168.1.100 
教师 192.168.1.11 2515.2515.2515.0 192.168.1.100 
防火 墙 LAN 192.168.1.100 2515.2515.2515.0 192.168.1.100 
防火 墙 WAN 1.1.1.100 2515.2515.2515.0 1.1.1.100 


医 哈 5 夺 火 述 振 倪 类 与 代用 


网 参 颁 会 与 合理 ( 谎 二 把 ) 


(2) 定义 安全 规则 , 配置 教师 的 他 不 限时 间 允 许 访 问 任意 服务 。 进 入 防火 墙 配 置 页 面 : 
选择 “安全 策略 ”一 “安全 规则 ”命令 ， 配 置 包 过 滤 规 则 ， 如 图 15.18 所 示 。 


Lpf2 【1-15 位 字母 、 数 字 、 沽 号、 下划线 的 组 合 ) 
手工 输入 ~ ay - 
TF 地 址 | 192. 168.1.11 目的 地 址 : TF 地址 

掩 码 | 255.255.255.255| 掩 码 | 本 


WEL 过 源 : 
日 检查 注册 网 D 上 
[| 流量 控制 = 
口 日 志 记 录 : 万 
ia 


三 保护 主机 三 保护 服务 三 限制 主机 厂 限制 服务 


15.18 包 过 滤 规 则 


(3) 进入 防火 墙 配置 页 面 : 选择 “对 象 定义 ”一 “时 间 ” 一 “时 间 列 表 ” 命 令 ， 创 建 
包括 上 课时 间 的 时 间 对 象 ， 如 图 15.19 所 示 。 


* 名 称 : | working_time ”| ( 1-15 位 字母 、 数 字 、 减 号 、 下 划 线 的 组 合 ) 
”一 次 性 调度 有 效 时 间 格式 YYYY/WW/DD hh:mm: ss) 


起 始 时 间 :| | 终 L 时 间 :| | 
从 ” 周 循环 调度 
起 始 时 间 终止 时 间 
调度 日 期 有 效 时 间 格式 有 效 时 间 格 式 
(hh:mm:ss ) 【 hh:mm:ss ) 
星期 日 
星期 一 9:00:00 | 18:00:00 
星期 二 [9:00:00 [18:00:00 
星期 三 9:00:00 18:00:00 
星期 四 9:00:00 18:00:00 
星期 五 [9:00:00 | [18:00:00 | 
星期 六 


备注 : | 


图 15.19 配置 时 间 列 表 


(4) 定义 安全 规则 ， 限 制 学 生 在 上 课时 间 不 能 访问 Intemet。 
进入 防火 墙 配置 页 面 : 选择 “安全 策略 ”一 “安全 规则 ”命令 ， 配 置 包 过 滤 规则 ， 在 
“时 间 调 度 ” 下 拉 列 表 中 选择 之 前 创建 的 时 间 对 象 ， 过 滤 动作 选择 “禁止 >， 如 图 15.20 


所 示 。 


所 过 沽 规则 姓 护 
满足 条 件 


规则 名 : pf4 ( 1-15 位 字母 、 数 字 、 减 号 、 下 二 由 和 R9 组 合 ) 


手工 输入 日 [rw 有 间 
tt 地 址 [192.168.12 | 目地 i 直 I | | 
掩 码 | 255.255 255 255 掩 码 | 


WRL 过 涛 : 
日 检查 流出 同 口 : 

机 [AGREE 玉生 

用 户 认证 : [| 日 志 记录 : 三 

一 


三 保护 主机 三 保护 服务 三 限制 主机 三 限制 服务 


回回 区 


图 15.20 选择 “禁止 ” 


(5) 定义 最 后 匹配 的 安全 规则 ， 人 允许 所 有 访问 通过 ， 即 满足 课余 时 间 无 限制 的 访问 。 
进入 防火 墙 配置 页 面 : 选择 “安全 策略 ”一 “安全 规则 ”命令 , 配置 包 过 滤 规 则 , 如 图 15.21 
所 示 。 


包 过 小 规 则 维护 


【1-15 位 字母 、 数 字 、 减 号 、 下 划 线 的 组 合 ) 


检查 流入 网 口 : -| 。 检查 流出 网 口 ; 日 
时 间 调 度 : 二 mm 
用 户 认证 : 加 | 日 志 记 录 : 品 

序号 : 5 


图 15.21 人 允许 所 有 访问 


15.5.5 ”验证 测试 


(1) 老师 任何 时 间 可 以 做 任何 访问 。 
(2) 学 生 上 课时 间 不 能 访问 其 他 网 站 。 第 
(3) 学 生 在 下 课时 间 可 以 访问 任意 网 站 的 任意 服务 。 
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15.6 “防火墙 实现 服务 保护 


1S.6.1 背景 描述 


某 学 院 使 用 防火 墙 作为 网 络 出 口 设备 ， 并 且 在 防火 墙 的 DMZ 区 域 中 部 署 了 一 台 提 供 
对 外 服务 的 Web 服务 器 。 但 网 络 管理 员 经 常 发 现 有 大 量 的 到 达 服务 器 的 连接 ， 以 致 消耗 了 
服务 器 大 量 的 系统 资源 ， 使 其 不 能 提供 良好 的 服务 。 为 了 使 Web 服务 器 正常 提供 服务 ， 需 
要 保护 服务 器 的 系统 资源 ， 限 制 到 达 服 务 器 的 连接 数 。 


1S.6.2 ”实验 拓扑 
实验 拓扑 结构 如 图 15.22 所 示 。 


~ Internet 
WAN 
1.1.1.100/24 DMZ 
h 192.168.2.1/24 
\ 
NY i 
LAN N\ 防火 墙 
192.168.1.100/24 Web Seryer 
i 192.168.2.2/24 
I 7 
-二 一 -一 一 gl | 
PC1 PC2 
192.168.1.1/24 192.168.1.2/24 


图 15.22 服务 保护 实验 拓扑 


15.6.3 ”实验 原理 


保护 服务 是 防火 墙 的 一 种 安全 功能 ， 可 以 限制 从 公 网 到 达 内 部 网 络 中 主机 或 服务 器 的 
连接 数 。 
1S.6.4 ”实验 步骤 

(1) 按照 拓扑 图 正确 配置 防火 墙 及 Web 服务 器 的 他 地址 ， 具 体 如 表 15.3 所 示 。 


表 15.3 JP 规划 表 
设备 名 称 IP 地 址 子 网 掩 码 默认 网 关 
PC1 192.168.1.1 2515.2515251510 192.168.1.100 
PC2 192.168.1.2 2515.2515.2515.0 192.168.1.100 
Web Server 192.168.2.2 2515.2515.2515.0 192.168.2.1 
防火 墙 LAN 192.168.1.100 2515.2515.2515.0 192.168.1.100 
防火 墙 WAN 1.1.1.100 2515.2515.2515.0 1.1.1.100 


防火 墙 DMZ 192.168.2.1 2515.2515.2515.0 192.168.2.1 


(2) 配置 连接 限制 。 进 入 防火 墙 配置 页 面 : 选择 “对 象 定义 ”一 “连接 限制 ”一 “ 保 
护 服务 ”命令 ， 单 击 “ 添 加 ”按钮 添加 规则 。 如 图 15.23 所 示 ， 配 置 为 : 到 达 Web 服务 器 


[linit ”| (1-15 位 字母 、 数 字 、 减 号 、 下 划 线 的 组 合 ) 
* 尖 地 址 ; 10.0.0.0 7 [0.0.0.0 = 
+ 受 保护 端口 : |s0 | (1-65535 ) 


人 独 享 推荐 ) 个 共享 
每 | | (1-3800) 秒 最 多 允许 | 0 ”| (1-65535) 个 TCP 连接 
限 三 | 。 超过 该 二 率 后 
全 禁止 当前 周期 内 的 后 续 连接 剑 认 ) 
个 禁止 。 | 4-65535 且 大 于 连接 控制 局 期) 秒 内 建立 新 连接 
个 独 享 人 共享 推荐) 
同一 时 刻 最 多 存在 | 50 。 | (1-65535) 个 有 效 TCP 和 连接 
备注 ; [ ] 
|_ 确定 由 取消 | | 
15.23 ”限制 并 发 连接 


(3) 定义 端口 映射 规则 ， 使 防火 墙 将 DMZ 中 的 Web 服务 器 发 布 到 公 网 中 。 进 入 防 
火 墙 配置 页 面 : 选择 “安全 策略 ”一 “安全 规则 ”一 “端口 映射 规则 ”命令 ， 在 此 规则 中 
选中 “保护 服务 ” 复 选 框 ， 以 启用 此 规则 的 服务 保护 功能 ， 如 图 15.24 所 示 。 


入口 映 射 搞 则 儿 护 
足 条 件 


限制 并 发 连接 全 


《1-15 位 字母 、 数 字 、 减 号 、 下 X 和 的 姐 合 ) 


源 地 址 - 地址 * 公开 娩 址 ; L1110 -| 


[于 工 第 入 - 
了 地 址 192.168.2.2 


图 15.24 定义 端口 映射 


15.6.5 ”验证 测试 
观察 从 公 网 到 达 Web 服务 器 的 连接 ， 连 接 数 将 不 能 超过 50 个 。 
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15.7 ”防火墙 实现 抗 攻 击 


15.7.1 背景 描述 


某 学 院 老师 发 现 经 常 有 外 部 的 IP 地 址 发 送 大 量 的 数据 包 对 内 部 网 络 进行 扫描 攻击 , 要 
求 在 防火 墙 上 制止 这 些 攻击 。 


1S.7.2 ”实验 拓扑 
实验 拓扑 结构 如 图 15.25 所 示 。 


PC2 
1.1.1.2/24 
WAN 
1.1.1.100/24 
IN 
\ 
LAN \ 防火 墙 
192.168.1.100/24 
交换 机 
号 
ee ES 
PC1 
192.168.1.1/24 


图 15.25 ” 抗 攻击 实验 拓扑 
15.7.3 ”实验 原理 


防火 墙 的 抗 攻 击 功 能 可 以 有 效 发 现 并 制止 网 络 攻击 ， 从 而 达到 保护 内 部 资源 的 目的 。 
15.7.4 “实验 步骤 


(1) 正确 配置 防火 墙 和 PC 的 卫 地 址 ， 具 体 如 表 15.4 所 示 。 


表 15.4 JP 规划 表 
设备 名 称 IP 地 址 子 网 掩 码 默认 网 关 
Bel 192.168.1.1 2515.2515.2515.0 192.168.1.100 
PC2 lhl 2515.2515.2515.0 1.1.1.100 
防火 墙 LAN 192.168.1.100 2515.2515.2515.0 192.168.1.100 
防火 墙 WAN 1.1.1.100 2515.2515.2515.0 1.1.1.100 


(2) 定义 安全 规则 ， 允 许 所 有 访问 通过 。 进 入 防火 墙 配置 页 面 : 选择 “安全 策略 ” 
“安全 规则 ”命令 ， 配 置 包 过 滤 规 则 ， 如 图 15.26 所 示 。 


FF 


规则 名 : 了 EL 〔 1-15 位 字母 、 数 字 、 减 号 、 下 烛 线 的 组 合 ) 
any - an ~ 
源 地 址 : Tf 地 址 | 目的 地 址 : TP 地 址 
掩 码 撞 码 | | 
服务 : any M4 
动作 人 允许 个 禁止 WRL 过 小 加 
检查 流入 网 品 可 检查 流出 网 口 : - 
时 间 调度 口 流量 控制 [] 
用 户 认证 : 口 日 志 记录 : 口 
隧道 名 : [== D3: FREE 
连接 限制 : 厂 保护 主机 厂 保护 服务 三 限制 主机 厂 限制 服务 


图 15.26 配置 包 过 滤 规 则 


(3) 配置 防火 墙 WAN 接口 的 抗 攻击 功能 。 进 入 防火 墙 配置 页 面 : 选择 “安全 策略 ”一 
“ 抗 攻击 ”命令 ， 选 择 WAN 接口 ， 如 图 15.27 所 示 。 


图 15.27 抗 攻击 设置 
(4) 启用 “ 抗 攻击 功能 ” 并 开启 端口 扫描 攻击 ， 如 图 15.28 所 示 。 


攻击 


” 
5 
p 们 
抗 Ping of Death 攻击 
末 Jce 人 长 内 :| 00 字 节 (1-65535 ) 六 人 
抗 WP 了 eod 攻击 
nr: 1000 | 个 包 / 妙 〔 1-65535 ) 回 的确 A FT 攻击 
搜 FID STEI 攻 击 本 有 
[10 亮 tl0 人 不 有 ptrotr 包 (iesss5 ) 
抗 TCF 端口 扫 纺 
卫生 10 | 这 共同 17 的 10 人 不同 江口 的 TCF 包 ( 1-65535 ) 让 
抗 mr 入口 3 扩 
已 各 [10 | 这 从 网 -Tr 的 10 个 不 风光 的 we 包 (1-65535 ) 下 
厂 一 抗 松 数 吝 中 由 攻击 厂 ” 抗 了 ? 时 间 芍 攻击 
厂 “ 搞 严 格 85 由 攻击 万 闹 Led 攻击 
厂 抗 ialske 攻击 厂 抗 tewrdreoy 攻击 
厂 区 me 攻击 
| 确定 上 遇 全 过 用 取消 | 第 
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15.7.5 ”验证 测试 


在 启动 抗 攻 击 前 ， 在 PC2 上 使 用 端口 扫描 工具 对 PC1 进行 扫描 ， 发 现 PC1 的 接口 接 
收 到 大 量 的 数据 包 , 即 PC2 的 扫描 工具 发 送 的 报 文 , 且 扫 描 工具 正确 扫描 到 了 PC1 上 已 开放 
的 端口 。 在 启动 抗 攻击 后 ， 在 PC2 上 使 用 端口 扫描 工具 对 PC1 进行 扫描 ， 发 现 PC1 的 接 
口 只 接收 到 少数 几 个 数据 包 ， 其 他 大 量 的 扫描 数据 包 已 经 被 防火 墙 阻拦 ， 且 PC2 的 扫描 工 
具 不 能 扫描 到 PC1 上 开放 的 端口 。 


1S.8 ”防火 墙 实 现 链 路 负载 


15.8.1 背景 描述 


某 学 校 信息 中 心 原来 有 一 条 10M 线路 ， 最 近 新 申请 了 一 条 10M 线路 ， 要 求 防火 墙 同 
时 使 用 新 旧 两 条 线路 ， 并 且 将 流量 合理 分 挫 。 


15.8.2 ”实验 拓扑 
实验 拓扑 结构 如 图 15.29 所 示 。 


yy 


& - Internet D 二 Internet > 
DB 人 人 
WANI1 pe 
1.1.1.1/24 2.2.2.1/24 


\ 
LAN NN 防火 增 
192.168.1.100/24 辐 


| 交换 机 
上 Ea 


PC1 
192.168.1.1/24 


图 15.29 链 路 负载 实验 拓扑 


15.8.3 ”实验 原理 


通过 两 条 链 路 为 两 个 路 由 下 一 跳 配置 相应 的 权重 ， 合 理 分 配 网 络 流量 。 
1S.8.4 ”实验 步骤 
(1) 正确 配置 防火 墙 和 PC 的 他 地 址 ， 具 体 如 表 15.5 所 示 。 


设备 名 称 

PC1 

防火 墙 LAN 
防火 墙 WAN1 
防火 墙 WAN2 


表 15.5 IP 规划 表 


IP 地 址 
192.168.1.1 
192.168.1.100 
LL 

2.2.2.1 


子 网 掩 码 

2515.2515.2515.0 
2515.2515.2515.0 
T51251S. 2515.0 
2515.2515.2515.0 


默认 网 关 
192.168.1.100 
192.168.1.100 
LEL1 

2221 


(2) 定义 安全 规则 ， 人 允许 所 有 访问 通过 。 进 入 防火 墙 配置 页 面 : 选择 “安全 策略 ”一 
“安全 规则 ”命令 ， 配 置 包 过 滤 规 则 ， 如 图 15.30 所 示 。 


(1-15 位 字母 、 数 字 、 减 导 、 下 划 线 的 组 合 ) 


any 


目的 地 址 : IF 地 址 | 
掩 码 


连接 限制 : 


[| 


三 保护 主机 厂 保护 服务 厂 限制 主机 三 限制 服务 


VRL 过 小 ; 

检查 流出 网 口 : 

流量 控制 : 

日 志 记录 : 口 
序号 : 本 


15.30 ”允许 所 有 访问 


(3) 定义 策略 路 由 。 进 入 防火 墙 配置 页 面 : 选择 “网 络 配置 ”一 “策略 路 由 ”命令 ， 
单 击 “添加 ”按钮 ， 配 置 到 公 网 的 路 由 ， 并 配置 两 个 下 一 跳 地 址 ， 分 配 相等 的 权重 ， 即 保 
证 流量 平分 到 两 条 链 路 上 ， 如 图 15.31 所 示 。 

| 添加 、 编 辑 策略 路 由 
个 路 由 和 个 源 咯 由 。 个 路 由 负载 均衡 


目的 地 址 : 
下 一 中 地 址 : 
下 一 上 地 址 : 


下 一 跳 地 址 : 
> 更 多 下 一 跳 


0.0.0.0 


72 


和 2 


图 15.31 配置 策略 路 由 


区 又 5 压 火 榴 失 倪 尖 与 代用 
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.实验 中 你 都 学 到 了 哪些 内 容 ? 
. 硬件 防火 墙 有 哪些 登录 验证 方式 ? 
.如 何 限制 常用 的 网 络 功能 ， 如 FTP、BT、QQ 等 。 
4. 如 果 配 置 中 有 两 条 规则 是 互相 矛盾 的 ， 如 前 一 条 是 禁止 某 个 端口 ， 后 一 条 是 打开 
这 个 端口 ， 请 问 会 出 现 什么 情况 ? 
5. 利用 Web 和 超级 终端 登录 分 别 有 哪 些 优 缺 点 ? 


局 = 


第 16 童 。 实验 6 VPN 服务 的 配置 与 使 用 


16.1 实验 目的 及 要 求 


16.1.1 实验 目的 


掌握 VPN 服务 的 基本 使 用 原理 , 学 习 通过 虚拟 机 对 Windows Server 2003 中 的 VPN 功 
能 进行 配置 ， 学习 IPSec VPN 隧道 ,熟悉 移动 办 公 方 式 下 的 VPN 隧道 建立 ,理解 PPTP 和 
L2TP 之 间 的 区 别 。 
16.1.2 ”实验 要 求 


根据 教材 中 介绍 的 操作 步骤 完成 实验 内 容 ， 详 细 观 察 并 记录 设置 的 内 容 ， 理 解 设置 的 
内 容 和 原理 ， 做 出 分 析 并 写 出 实验 总 结 报告 。 


16.1.3 ”实验 设备 及 软件 

安装 Windows Server 2003 的 虚拟 机 一 台 、PC 一 台 。 
16.1.4 ”实验 拓扑 

实验 拓扑 图 如 图 16.1 所 示 。 


Eth0 Ethl 
i 
J ad -号 [0] 
ed 2 


外 网 PC 交换 机 VPN 服务 器 内 网 PC 


图 16.1 实验 拓扑 
16.2 ”实验 内 容 及 步骤 


16.2.1 应 用 情景 

可 以 设想 一 下 情景 ， 公司 的 总 部 在 广州 ， 有 两 个 办 事 处 分 别 在 香港 和 上 海 ， 两 个 办 事 
处 的 网 络 需 要 和 总 部 连接 ， 同 时 办 事 处 之 间 也 需要 相互 连接 。 解 决 这 种 问题 以 前 只 有 一 种 
办 法 ， 就 是 分 别 申请 两 条 专线 连接 总 部 和 两 个 办 事 处 ， 两 个 办 事 处 之 问 的 通信 通过 总 部 转 
发 。 长 途 专线 的 费用 是 非常 昂贵 的 ， 在 以 前 只 有 银行 、 证 券 公司 及 大 企业 才 有 能 力 负担 。 
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有 了 互联 网 和 VPN 技术 之 后 ， 解 决 办 法 可 以 变 成 这 样 : 总 部 通过 一 条 专线 和 互联 网 
连接 ， 两 个 办 事 处 分 别 在 本 地 申请 互联 网 的 拨号 连接 ,然后 通过 在 互联 网 上 建立 两 条 VPN 
通道 将 三 个 网 络 连接 起 来 。 这样 可 以 省 去 长 途 专线 费用 。 不 过 互联 网 的 专线 连接 也 不 便宜 ， 
这 种 解决 方案 暂时 也 只 有 大 中 型 公司 可 以 负担 得 起 。 

VPN 不 但 可 以 用 于 上 述 网 络 对 网 络 的 连接 ， 也 可 以 用 于 单 台 计 算 机 到 网 络 的 连接 。 在 
使 用 VPN 的 时 候 需要 规划 一 下 应 用 环境 。 

首先 需要 列 出 需要 连接 的 节点 及 节点 的 类 型 ， 以 及 之 间 的 访问 关系 ， 即 由 谁 发 起 连接 
和 向 谁 发 起 连接 的 问题 。 这样 可 以 确定 哪些 地 方 需要 安装 VPN 服务 器 , 哪些 地 方 仅仅 是 配 
置 客户 端 就 可 以 了 。 

16.2.2 PPTP 协议 实现 VPN 服务 


要 实现 在 异地 通过 VPN 客户 端 访问 总 部 局 域 网 各 种 服务 器 资源 , 首先 采用 PPTP 协议 
实现 VPN 服务 功能 。 

1. 服务 器 端 基 本 配置 

(1) 系统 前 期 准备 工作 。 

虚拟 机 服务 器 硬件 要 求 : 双 网 卡 ， 一 块 接 外 网 ， 一 块 接 局 域 网 。 在 Windows 2003 中 
VPN 服务 称 为 “路 由 和 远程 访问 ” 默认 状态 已 经 安装 ， 只 需 对 此 服务 进行 必要 的 配置 ， 
使 其 生效 即 可 。 

在 虚拟 机 设置 中 添加 双 网 卡 ， 如 图 16.2 所 示 ， 然 后 启动 虚拟 机 中 的 Windows Server 
2003 服务 器 。 


硬件 过 硕 -| 


i 设备 枯 态 
本 内 存 488 NB 已 法 的 (c) 
口外 1 国 部 和 这 拉 (0) 
(sceD) 
向 Go/pvp (pe 。 下 站 全 有 文件 WindowsSerer200-，| 。 这 六 
Ri 大 扩 本 式 (自动) 加 祈 接 模 式 (8): 直接 本 凌 和 理 P3 络 
| 症 而 抽 9 络 坟 失 枯 起 (P) 
时 声卡 目 动 窟 划 NAT 神 式 (N}: 月 于 共享 主机 的 地 址 
sis 自动 机 如 主机 楼 式 (H): 与 主机 共 训 的 去 用 隐 络 

和 定义 (U): 兰 定 岂 Wa 

Mneto (自动 覆 接 ) 
LAN 区 段 (D: 
DER 
Ee] | 
这 取消 EJ 


图 16.2 虚拟 机 中 添加 双 网 卡 


(2) 确定 是 否 开启 了 Windows Firewall/Intermet Connection Sharing (ICS) 服务 ， 如 果 
开启 了 Windows Firewall /Internet Connection Sharing 服务 的 话 ， 在 配置 “路 由 和 远程 访问 ” 


时 系统 会 弹出 提示 对 话 框 ， 如 图 16.3 所 示 。 


路 由 和 远程 访问 


图 16.3 ICS 服务 开启 提示 


(3) 选择 “开始 ”一 “所 有 程序 ”一 “管理 工具 ”一 “服务 ”命令 ， 停 止 Windows 
Firewall/Internet Connection Sharing 服务 ， 并 设置 启动 类 型 为 “禁用 ”， 如 图 16.4 所 示 。 

(4) 虚拟 机 服务 器 上 外 网 网 卡 瑟 地 址 设置 为 外 网 网 段 的 地 址 192.168.1.10， 如 图 16.5 
所 示 。 


Tateraet 协议 CTCP7IP) 尾 娃 


图 16.4 禁用 ICS 服务 图 16.5 外 网 网 卡 瑟 地 址 


(5) 虚拟 机 服务 器 上 内 网 网 卡 IP 地 址 设置 为 外 网 网 段 的 地 址 10.10.10.2， 如 图 16.6 
所 示 。 
(6) 客户 端 上 的 了 P 地 址 设置 为 外 网 网 段 的 地 址 192.168.1.85， 如 图 16.7 所 示 。 


Internet 协议 (TCP/IP) 属性 


图 16.6 内 网 网 卡 卫 地 址 16.7 客户 端 网 卡 下 地 址 


及 又 6 VPN 慑 条 失 马 团 与 代用 
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(7) 在 客户 端 上 ping 服务 器 上 的 他 地 址 192.168.1.10， 可 以 正常 通信 ; 在 客户 端 上 ping 服 
务 器 上 的 他 地 址 10.10.10.2， 无 法 正常 通信 ， 这 是 因为 内 网 他 目前 不 可 访问 ， 如 图 16.8 所 示 。 


Nisers\Adninistrator Ying 192-168-1-10 
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版 0 1 半 二 刘 
由 i 4%5 的 回复 : 无 法 访问 目标 主机 - 
站 


sors Adninistrator) 


图 16.8 ping 服务 器 外 网 和 内 网 地 址 


2. 搭建 FTP 服务 器 
(1) 在 服务 器 上 使 用 Serv-U 搭建 FTP 服务 器 ,为 用 户 提供 FTP 下 载 服务 ,选择 Serv-U 
启动 服务 ， 如 图 16.9 所 示 。 


图 16.9 选择 Serv-U 
(2) 使 用 向 导 在 Serv-U 中 搭建 FTP 服务 器 ， 如 图 16.10 所 示 。 


16.10 搭建 FTP 服务 器 设置 向 导 


(3) 开始 本 地 服务 器 的 设置 ， 如 图 16.11 所 示 。 


ET 红包 服务 器 人 坦 看 中， 诊 口 四 ”天助 
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CE 
TE 划 


划一 步 是 在 您 的 Pr 中 开始 sarv-UETP 服务 器 并 与 它 这 接 。 服 务 器 的 所 有 设置 是 FTP 
Wa Ee 己 完成 的 ， 因 此 服务 器 需要 运行 后 来 创建 用 户 帐 号 等 等 。 这 可 能 需要 一 些 时 


按 " 下 一 步 “ 开 始 本 二 FTP 服务 器 并 与 它 连接 


2 X RN 


同 | 应 用 (大 ry 


图 16.11 开始 本 地 服务 器 的 设置 


(4) 输入 IP 地 址 ， 如 图 16.12 所 示 。 如 果 自 己 有 服务 器 ， 有 固定 的 卫 ， 就 输入 卫 地 
址 。 如 果 只 是 在 自己 计算 机 上 建立 FTP， 而 且 又 是 拨号 用 户 ， 有 的 只 是 动态 人， 没有 固定 
卫 ， 那 这 一 步 就 省 了 ， 什 么 也 不 要 填 ，Serv-U 会 自动 确定 你 的 P 地 址 ， 单 击 “ 下 一 步 ” 
按钮 。 


文件 栅 概 也) 服务 器 久 】 查看 鲁 口 各 帮助 人 0 
自 芭 X 关 回国 中意 | 客 | 人 


x 和 
日 岂 servu 服 务 器 习 本 地 Frp 服务 器 
1 轩 << 本 地 服务 器 >> | 
het 二 相信、 


请 输入 您 计算 机 的 PP 地址 。 如 果 您 的 P 每 次 随 Internet 连接 而 更 改 ， 或 者 您 不 确定 
它 是 什么 ， 请 留 空 (这 典型 用 于 拨号 帐号 )。 


地 址 (动态 或 未 知 IP 请 留 空 ) 
ononod 


xmno | [oisw] 


Ba [23 


[<< 本 地 服务 器 》》 [系统 管理 员 ] 于 :0.000 3/ 黎 六 上 传 : 0.000 三 /在 / 32767 个 Secket5 0) 用 户 [0 个 传输 二 


图 16.12 ”输入 全 地 址 


(5) 输入 域名 ， 如 图 16.13 所 示 。 如 果 有 的 话 ， 如 FTPabc.com 直接 输入 。 没 有 的 话 ， 
就 随便 填 一 个 或 用 默认 给 定 的 域名 也 可 以 。 


颁 哈 6 VPN 异 条 内 配置 与 代用 


风 加 颁 会 与 同型 ( 谎 二 揪 ) 


图 16.13 ”填写 域名 


(6) 是 否 安 装 为 系统 服务 ， 如 果 是 系统 服务 ， 在 下 次 开机 时 会 自动 启动 FTP 服务 。 在 
这 里 选择 “ 否 ” 单 选 按钮 ， 不 用 作为 系统 服务 ， 如 图 16.14 所 示 。 


16.14 选择 是 否 安装 为 系统 服务 


(7) 询问 是 否 允 许 匿 名 访问 ， 如 图 16.15 所 示 。 一 般 来 说 ， 匿 名 访问 是 以 Anonymous 
为 用 户 名 称 登 录 的 ， 无 须 密码 。 当 然 ， 如 果 想 成 立 一 个 只 允许 会 员 访问 的 区 域 ， 就 应 该 选 
择 “ 和 否 ” 单 选 按钮 ， 不 让 随便 什么 人 都 可 以 登录 ， 只 有 许可 用 户 才 行 。 在 此 选择 “是 ” 单 
选 按钮 ， 允 许 匿 名 访问 。 


图 16.15 是 否 允许 匿名 访问 


(8) 选择 匿名 用 户 登 录 到 你 的 计算 机 时 的 主 目录 ， 如 图 16.16 所 示 。 可 以 自己 指定 一 
个 硬盘 上 已 存在 的 目录 ， 如 Ci\ 新 建文 件 夹 。 


16.16 匿名 用 户 登录 时 的 主 目录 


(9) 询问 是 否 要 锁定 主 目录 (如 图 16.17 所 示 )， 锁定 后 匿名 登录 的 用 户 将 只 能 认为 指 
定 的 目录 〈C: 新 建文 件 夹 ) 是 根 目 录 ， 也 就 是 说 他 只 能 访问 这 个 目录 下 的 文件 和 文件 夹 ， 
这 个 目录 之 外 就 不 能 访问 。 对 于 匿名 用 户 ， 一 般 选择 “是 ” 单 选 按钮 。 


及 又 6 VPN 让 条 失 马 团 与 代用 


风疹 颁 会 与 合理 ( 谎 二 把 ) 


Serv-V 管理 员 - 《< 本 地 服务 器 >》 = 上 jx| 
文件 四 ”编辑 到 ) 服务 器 全 查看 如 窗口 加 夫 助 好 

站 浆 X | 回回 |% 审 记 | 多 | 儿 

x x 


匿名 用 户 是 否 应 该 被 限制 在 他 们 的 主 目录 ? 如 果 ' 症 “他们 将 只 看 到 为 他 们 的 登录 
目录 ， 并 且 他 们 将 无 法 访问 主 目录 之 外 的 内 容 。 


是 否 镜 定 匿名 用 户 在 好 们 的 主 目录 ? 
[SI 图 r 否 


| x | 


辐 应 用 8 | js) 
全 本 地 服务 器 >》 ”系统 管理 员 ] ”|} 亏 ;0.000 1B/ 秒 /上传 : 0.000 好 /4 /32767 个 Socket 0) 用 户 [0 个 传输 


图 16.17 ”是否 要 锁定 该 目录 


3. 配置 VPN 服务 

(1) 在 虚拟 机 服务 器 上 配置 VPN 服务 ， 依 次 选择 “开始 ”一 “程序 ”一 “管理 工具 ”一 
“路 由 和 远程 访问 ”命令 ， 打 开 “ 路 由 和 远程 访问 ”窗口 ， 如 图 16.18 所 示 。 

(2) 在 “服务 器 状态 ”上 单 击 鼠标 右键 ， 从 弹出 的 快捷 菜单 中 选择 “添加 服务 器 ” 命 
令 ， 如 图 16.19 所 示 。 


路 由 和 远程 访问 


文件 如 ”如 作 (查看 中 天助 只 
* 小 | 向 | 四 | 间 隐 | 久 贺 


路 由 和 远程 访问 
JR | 
此 视图 中 没有 可 显示 的 项 目 。 
R 
S| 
L L 
图 16.18 路 由 和 远程 访问 图 16.19 添加 服务 器 


(3) 在 “添加 服务 器 ”对 话 框 中 选择 “这 台 计 算 机 ” 单 选 按钮 ， 如 图 16.20 所 示 。 
(4) 在 左 侧 窗口 中 右 击 本 地 计算 机 名 ， 从 弹出 的 快捷 菜单 中 选择 “配置 并 启用 路 由 和 
远程 访问 ”命令 ， 如 图 16.21 所 示 。 


文件 到 ) 操作 名) 


查看 帮助 中 


护 草 | 添加 服务 器 
添加 下 列 服务 器 : 
6 这 台 计 算 机 全 ) 
个 下 下 二 算 机 由: 


6 
外 


+ | 知 | 四 | 加 区 | 岛国 


个 所 有 路 由 和 远程 访问 计算 机 必 ) 


文件 下) 操作 查看 WW) 帮助 中 


个 | 外 | 加 |X 办 日 | 岛 加 


配置 并 启用 路 由 和 远程 访问 C) 
蔡 用 路由 和 j 丈 程 访问 信 ) 


在 “操作 ” 
用 路 由 和 远程 
问 ， 部 署 广 
多 信息 ， 请 参 
加 
际 上 上 巾 由 和 j 程 访问 并 册 除 以 前 的 配置 。 | 
图 16.21 选择 “配置 并 启用 路 由 和 远程 访问 ” 


(5) 在 配置 向 导 中 选择 “ 自 定义 配置 
(6) 在 “ 自 定义 配置 ”向 导 中 选择 “ 


” 单 选 按钮 ， 如 图 16.22 所 示 。 
VPN 访问 ” 复 选 框 ， 如 图 16.23 所 示 。 


配置 
悠 可 以 启用 下 列 服 尖 的 任 襄 姐 合 ， 开 者 作品 以 目 定 义 此 彼 劳 器 


| 路 由 和 运程 访问 最 务 器 安 装 疝 导 


路 由 和 运程 访问 虹 务 回 安装 向 导 


自 定义 配置 
关闭 此 疝 导 后 ,您 可 以 在 路 由 和 迁 程 访问 控 币 台中 配 轩 兴 择 的 服务 。 


远程 访 问 具 引 或 VFID G) 
ee PiD Internet 连接 来 连 按 到 
所 网络 地 址 转换 WAT) 区 ) 
花 许 内 部 客户 端 使 用 一 个 公共 IP 地 址 连接 到 Tnternst。 
个 虚 执 专用 网 络 WP 访问 和 IT QD) 
Ps Etermt 过 近 服 务 器 本 地 客户 使 用 一 个 音 的 
再 个 专用 网 络 之 间 的 安全 连接) 
将 此 网 结 连接 到 一 个 运程 朵 结 ， 例 如一 个 分 坟 办 公 室 - 


Bl 


先 失 们 检 在 此 服务 器 上 启用 的 服务 。 
p 
厂 找寻 访问 四 ) 
厂 请 求 拉 号 连接 出 分支 办 公 室 路 由 使 用 ) E) 
厂 Br 有 菇 # 防 炎 墙 访 
厂 1 路由 中 


< 上 - 步 加 取 注 


< 5 省 


图 16.22 选择 “ 自 定义 配置 ” 


图 16.23 选择 “VPN 访问 ” 


颁 哈 6 VPN 庙 条 内 配置 与 代用 


风疹 人 委 会 与 合理 ( 谎 二 把 ) 


(7) 在 本 地 服务 器 上 单 击 鼠 标 右键 
图 16.24 所 示 。 
路 由 和 远程 访问 zz 
文件 四 ”操作 查看 久 帮助 0 


， 从 弹出 的 快捷 菜单 中 选择 “属性 ”命令 ， 如 


委 了 | 向 | 四 |X 轿 加 | 岛国 


曙 路 由 和 远程 访问 
服务 器 状态 


配置 并 局 用 路 由 和 远程 访问 2) 
禁用 路 由 和 远程 访问 (3) 


所 有 任务 区 ) 
查看 


删除 @) 
刷新 外) 


属性 8) 


需 助 0) 


“| 配置 了 路 由 和 远程 访问 


路 由 和 远程 访问 服务 器 安装 向 导 进 行 了 配置 。 要 对 当前 
请 在 控制 台 树 中 选择 一 个 项 目 ， 然 后 在 “操作 ”菜单 上 


人 部 署 方 案 ， 以 及 疑难 解答 的 更 多 信息 ， 请 参 


打开 当前 选择 的 属性 对 话 框 。 


图 16.24 


选择 “属性 ” 


(8) 在 “安全 ”选项 卡 中 选择 “Windows 身份 验证 ”选项 ， 如 图 16.25 所 示 。 
(9) 在 也 选项 卡 中 选择 “编辑 地 址 范围 ”, 在 范围 中 输入 内 网 可 以 分 配 的 下 地 址 范围 ， 
如 10.10.10.20~10.10.10.30， 如 图 16.26 所 示 。 


B-F013054927374 (本 地 ) 属性 引 x| 
党 疯 安 |z |zr |B 老 | 


相 的 二 人 程序 这 问 客 户 端 和 请 求 拟 号 路 由 器 提供 任 据 验 


身份 验证 提供 程序 0D) 

[TT 
身份 验证 方法 他... 

记 帐 提供 程序 维护 连接 请 求 和 会 话 日 志 。 

记 帐 提供 程序 @) 

Windows 记 帐 了 配置 世 ) 

LoTp 一 个 预 共享 的 密 铀 。 

和 碟 
厂 为 I2TP 连接 允许 自 定义 ITPSee 策略 民 ) 

预 共享 的 灾 钥 证) 


| 


钢 | 安全 了 jz |B 志 | 
厅 启用 立 路 由 双 ) 
厅 允许 基于 IP 的 运程 访问 和 请 求 找 号 连接 ) 


i = 
输入 一 个 起 始 IP 地 址 ， 和 结束 IP 地 址 或 范围 中 的 地 址 数 。 


了 zx 


起 始 IP 地 址 GG): 画 . 10. 10. 20 
| 结束 IP 地 址 到) 10. 10. 10 . 30 
地 址 数 0D 11 
| Cme | ws | 
使 用 下 面 的 适配器 为 拨号 客户 端 获 职 DMCP DNS 和 WINS 地 址 。 
适配器 外 : [允许 RAs 选择 ER 吕 。 下 
确定 取消 应 用 的) 


图 16.25 选择 “Windows 身份 验证 ” 


图 16.26 输入 全 地 址 范围 


(10) 新 建 有 拨 入 权限 的 用 户 。 要 登录 到 VPN 服务 器 ， 必 须要 知道 该 服务 器 的 一 个 有 
拨 入 权限 的 用 户 。 下 面 在 该 VPN 服务 器 上 新 建 一 个 用 户 并 赋予 该 用 户 拨 入 的 权限 , 一 定 要 
在 “远程 访问 权限 ”区 域 中 选择 “允许 访问 ” 复 选 框 ， 不 然 就 无 法 登录 了 。 


新 建 用 户 : 右键 单 击 “ 我 的 电脑 ”图 标 ， 从 弹出 的 快捷 菜单 中 选择 “管理 ”命令 ， 如 
图 16.27 所 示 ， 弹 出 “计算 机 管理 ”窗口 。 

(11) 在 “计算 机 管理 ”中 选择 “本 地 用 户 和 组 ” 右 击 “ 用 户 ” 从 弹出 的 快捷 菜单 中 
选择 “新 用 户 ” 命 令 ， 如 图 16.28 所 示 。 


图 16.27 选择 “管理 ” 图 16.28 选择 “新 用 户 ” 


(12) 新 建 用 户 a， 密 码 也 是 a， 去 掉 用 户 下 次 登录 时 需 更 改 密码 选项 ， 如 图 16.29 
所 示 。 


Windows Media Servi 


图 16.29 创建 “新 用 户 ” 


(13) 在 用 户 a 上 单 击 鼠 标 右键 ， 从 弹出 的 快捷 菜单 中 选择 “属性 ”命令 ， 如 图 16.30 


所 示 。 16 


章 
及 又 6 VPN 慑 条 内 马 团 与 代用 


克 移 作 会 与 营 理 〈 务 二 族 )) 


文件 外 操作 查看 人 


窗口 @) 帮助 0 


各 祖 | 外 | 加 |X 罗 本 | 国 国 
计算 机 管理 本 地 ) 
日 生 系统 工具 3 
加 事件 查看 器 管理 计算 机 ( 域 ) 的 内 置 帐 记 
共享 文件 夹 用 于 运行 ASP. NET 辅助 进程 (as 
日 于 本 地 用 户 和 组 供 来 宾 访 问 计算 机 或 访问 域 的 内 
旬 了 匿名 访问 Internet 信息 服务 的 
和 扯 动 进程 外 应 用 程 
站 用 于 启动 进程 外 应 用 程序 的 Int 
Fy 
u 久 Ne . 。 这 是 一 个 帮助 和 支持 服务 的 提供 
i .匿名 访问 Windows Nedia Servi 
磁盘 管理 
他 服务 和 应 用 程序 
加 
时 天 当前 选择 的 属性 对 话 框 。 


图 16.30 选择 “属性 ” 


(14) 在 “属性 ”对 话 框 中 选择 “ 拨 入 ”选项 卡 ， 在 “远程 访问 权限 〈 拨 入 或 VPN)” 
选项 区 域 中 选择 “允许 访问 ” 单 选 按钮 ， 如 图 16.31 所 示 。 


4. 配置 客户 端 


从 客户 端 连接 到 VPN 服务 器 ， 这 里 介绍 的 客户 端 指 的 是 单 台 PC 连接 VPN 服务 器 的 


xl| 


情况 ， 即 单机 和 网 络 的 连接 。 单 机 连接 Server 2003 做 的 


Rw | VPN 服务 器 非常 简单 ， 和 平时 Modem 拨号 上 网 差不多 。 
de 区 别 在 于 原来 填写 电话 号 码 的 地 方 现在 必须 填写 VPN 服 
Cr 务 器 的 他 地 址 或 域名 。 另 外 需要 记 住 ，VPN 是 一 种 建立 
ee Eee || 在 已 有 网 络 连 接 上 的 一 种 专用 连接 ， 即 人 和 VPN 都 需要 


不 @ 执 C) 
个 由 呼叫 方 设置 ( 避 路 由 和 远程 沪 辣 服务 ) EB) 
总 是 四 让 到 0D 


一 个 底层 的 网 络 连接 ， 可 以 在 建立 VPN 拨号 连接 的 时 候 
指定 底层 连接 (如 连接 互联 网 的 拨号 连接 ), 这 样 在 拨 VPN 


ements 的 时 候 计算 机 会 自动 拨 互 联网 的 连接 。 当 然 ， 如 果 使 用 多 
| 种 互联 网 连接 或 直接 使 用 局 域 网 类 型 的 连接 ， 可 以 不 指定 
这 个 底层 连接 ， 在 拨 VPN 之 前 自己 手工 拨号 上 互联 网 。 

CI ww | mw | 首先 介绍 Windows XP 系统 下 设置 VPN 客户 端的 过 


图 16.31 选择 “允许 访问 ” 


程 ， 实 验 步骤 如 下 : 
(1) 在 “控制 面板 ”中 双击 “网 络 连 接 ”， 在 弹出 的 


“网 络 连接 ”窗口 中 的 “网 络 任务 ”面板 中 单 击 “ 创 建 一 个 新 的 连接 ” 链 
接 向 导 ” 对 话 框 ， 单 击 “ 下 一 步 ” 按 钮 ， 如 图 16.32 所 示 。 


接 ， 打 开 “ 新 建 连 


(2) 在 “网 络 连接 类 型 ”向 导 中 选择 “连接 到 我 的 工作 场所 的 网 络 ” 单 选 按钮 ， 如 


图 16.33 所 示 。 
(3) 在 “网 络 连 接 ” 向 导 中 选择 “虚拟 专用 网 络 连接 ” 单 选 按钮 ， 


如 图 16.34 所 示 。 


新 建 连 攻 向导 
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。 设 置 一 2 个 商业 网 过 (合用 扫 号 或 vr ， 以 在 家 里 或 者 
设置 一 个 家 庭 或 小 型 办 公司 络 - vr ， 这样 人 各 以 在 家 时 东 考 基 它 才 
个 设 于 家庭 或 小 型 办 公司 络 (5) 
连 半 到 一 个 现 有 的 交 放 或 个 型 办 公 网 站 ， 或 者 设置 一 个 新 的 。 
厂 设 御 高 级 库 控 全) 
口 ， 囊 口 直接 连 入 到 其 它 计算 机 ， 或 设置 比 计算 机 俩 其 它 
请 单 击 “下 一 步 ”。 铀 Re 


要 二 接 到 无 线 网 结 ， 请 查看 区 大 癌 的 元 线性。 


LE 上- 步 四 了 


图 16.33 选择 连接 到 我 的 工作 场所 的 网 络 


(4) 在 “连接 名 ”向 导 中 的 “公司 名 ”文本 框 中 输入 “VPN 服务 ”进行 标示 ， 如 
图 16.35 所 示 。 


图 16.32 打开 新 建 连接 向 导 


连接 了 连接 名 人 
悠 想 要 在 工作 点 加 何 与 网 络 连 接 ? 指定 连接 到 申 的 工作 场所 的 注 接 名 称 。 ) 
创 陵 下 列 连接 在 下 面皮 中 输入 此 连接 的 名 称 。 
三 按 号 连接 0) 公司 名 四 
Eel ， 或 通过 综合 业务 数字 同 ISDM) 电 话 线 连 | 
"如 执 专 用 网 绍 连 按 信 】 


例 各， 您 可 以 输入 您 的 工作 地 点 名 或 您 连接 到 的 服务 器 名 , 
使 用 虚拟 考 用 网 络 WPID 通 过 Internet 连接 到 同 络 。 


ee 
图 16.34 选择 虚拟 专用 网 络 连接 图 16.35 填写 连接 名 


(5) 主机 名 可 以 填写 服务 器 里 面 的 外 网 卡 卫 地 址 ， 如 图 16.36 所 示 ， 单 击 “ 下 一 步 ” 
按钮 完成 向 导 。 


(6) 单 击 “ 完 成 ”按钮 ， 完 成 创建 VPN 客户 端 连接 向 导 ， 并 在 桌面 创建 快捷 方式 ， 
如 图 16.37 所 示 。 


新 建 连接 向 导 


YP 服务 器 选 | 


所 ~ 
YPN 服务 器 的 名称 或 地 址 是 什么 ? 


输入 修正 连接 的 计算 机 的 主机 名 或 IF 地 址 。 


正在 完成 新 建 连接 向 导 


您 已 成 功 完 成 创建 下 列 壬 接 需要 的 步骤 
主机 名 或 I 地 址 (例如 ,nicrosoft_eonm 或 157.54.0.1 QD): 


hse. 168, 1.10 


VPE_Server 
。 与 此 计算 机 上 的 所 有 用 户 共享 


此 连接 格 被 存 入 “网 络 连 接 ” 文 件 充 。 


末 丰台 的 京 而 上 尖 加 一 个 到 此 连接 的 使 捷 廊 式 加 


要 创建 此 连接 并 关闭 向导 ， 单 击 “ 完 成 ” 
| 一 了 | 


了 第 
图 16.36 填写 服务 器 网 卡 瑟 地 址 图 16.37 完成 向 导 6 
了 
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(7) 双击 “VPN 服务 ”桌面 快捷 方式 ， 进 行 VPN 连接 ， 输 入 用 户 名 a 和 密码 a， 如 
图 16.38 所 示 ， 单 击 “ 连 接 ” 按 钮 。 


连接 YPR_Server ?ix 


用 户 名 他 : 下 
密码 所 ):; 加 


厂 为 下 面 用 户 保 存 用 户 名 和 窗 码 G) : 


会 只 是 我 加 


个 在 人 柯 便 用 此 计算 机 的 大 的 ) 
取消 属性 @) | ”帮助 四 


图 16.38 ”进行 连接 


(8) VPN 成 功 建立 会 生成 虚拟 专用 网 络 的 图 标 ， 表 示 已 连接 上 ， 如 图 16.39 所 示 。 
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图 16.39 已 连接 显示 


(9) 查看 VPN 状态 属性 ， 可 以 看 到 VPN 采用 的 协议 为 PPTP， 还 可 查看 身份 认证 、 
加 密 算法 、 压 缩 算法 、 服 务 器 卫 地 址 、 客 户 端 瑟 地 址 等 属性 ， 如 图 16.40 所 示 。 

下 面 介 绍 Windows 7 系统 下 设置 VPN 客户 端的 过 程 ， 实 验 步 又 如 下 : 

(1) 右键 单 击 桌 面 的 “网 络 ” 图 标 ， 从 弹出 的 快捷 菜单 中 选择 “打开 网 络 和 共享 中 心 ” 
命令 ,在 打开 的 窗口 中 单 击 “ 设 置 新 的 连接 或 网 络 ” 链 接 ， 如 图 16.41 所 示 。 


和 值 
WA 微型 端口 PPTP) 
vpn 


图 16.40 PPTP VPN 状态 
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Wirets 
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图 16.41 设置 新 的 连接 或 网 络 


(2) 选择 “连接 到 工作 区 ”选项 ， 单 击 “ 下 一 步 ”按钮 ， 如 图 16.42 所 示 。 

(3) 选择 “ 否 ， 创 建新 连接 ” 单 选 按钮 ， 单 击 “ 下 一 步 ” 按 钮 。 

(4) 单 击 “ 使 用 我 的 ntemet 连接 (VPN)”， 跳 转 到 “键入 要 连接 的 mtemet 地 址 ” 窗 
口 ， 如 图 16.43 所 示 ， 在 “Intemet 地 址 ”文本 框 中 输入 VPN 服务 器 提供 的 卫 地址 ， 单 击 
“下 一 步 ”按钮 。 

(5) 这 里 是 填 入 VPN 的 用 户 名 和 密码 ， 输 入 前 面 创建 的 用 户 名 a 和 密码 a， 然 后 单 击 
“创建 ”按钮 ， 如 图 16.44 所 示 。 到 这 里 就 完成 了 VPN 客户 端的 连接 设置 向 导 ， 单 击 “ 关 
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闭 ”按钮 。 


连接 到 Internet 
设 秆 无 线 、 宽 市 或 欣 号 连接 , 连接 到 Internet。 


和 
”配置 新 的 路 由 高 或 访问 点 。 


设置 拨号 连接 
区 使 用 拨号 连接 连接 到 Internet。 


图 16.42 连接 到 工作 区 


键入 要 连接 的 Internet 地 址 


192.168.110 


岂 使 用 千家 卡 (S) 
轩 国人 允许 其 他 人 使 用 此 连接 (A) 
这 个 迁 项 多 许可 以 沪 问 这 各 计算 机 的 人 使 用 此 连接 
团 现 在 不 连接 ; 仅 进 行 设置 以 便 稍 后 连接 (D) 


16.43 ”填写 VPN 服务 器 他 地 址 


(6) 在 桌面 上 找到 刚才 建 好 的 “VPN 连接 ”图 标 双击 打开 ， 输 入 VPN 提供 的 用 户 名 
和 密码 ,“ 域 ”可 以 不 用 填写 。 至 此 ， 整 个 Windows 7 下 的 VPN 客户 端的 配置 过 程 就 设置 
完成 了 。 现 在 单 击 “ 连 接 ” 按 钮 就 可 以 实现 VPN 的 连接 。 如 果 连 接 成 功 ,选择 “开始” 一 
“运行 ”命令 ,在 打开 的 对 话 框 中 输入 cmd, 单 击 “ 确 定 ” 按 钮 , 在 命令 窗口 中 输入 ipconfig/all， 
可 以 看 到 图 16.45 所 示 的 信息 。 


在 Ping 18.48.49.14 具有 32 字 忆 的 数据 
ei 


eere Adninieteator>ipeonf ig/al 


图 16.44 输入 用 户 名 和 密码 图 16.45 查看 VPN 连接 信息 


(7) 查看 是 否 能 ping 通 VPN 服务 器 的 外 网 和 内 网 他 地 址 ,如 能 ping 通 会 出 现 图 16.46 
所 示 信 息 。 


:Wsers\Adninistratorping 192.168.1.18 


Ho | 32 字 节 
SE 2 a 时 | 区 TIL=128 
来 目 192.16 ITIL-128 
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ins TIL-128 
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图 16.46 ”ping 通 时 的 信息 


(8) 访问 FTP 服务 器 ， 看 是 否 能 查看 到 FTP 服务 器 的 资源 ， 如 能 访问 到 资源 会 出 现 
图 16.47 所 示 内 容 。 


第 
图 16.47 FTP 资源 16 
尝 
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(9) 查看 VPN 状态 属性 ， 可 以 看 到 VPN 采用 的 协议 为 PPTP， 还 可 查看 身份 认证 、 
加 密 算法 、 压 缩 算法 、 服 务 器 人 P 地 址 、 客 户 端 他 地 址 等 属性 ， 如 图 16.48 所 示 。 


常规 | 详细 信息 | 
属性 值 
WAN Miniport (FPTP) 
设备 类 型 vpn 
身份 验证 NS CHAF Y2 


压缩 

PPP 多重 链 接 帧 关闭 
客户 满 IFv4 地 址 10. 10. 10.21 
服务 器 IPv4 地 址 10.10.10.20 


NAF 状态 非 WAP 适用 
原始 地 址 祭 知 ) 
目标 地 址 192.168.1.10 


关闭 CC) 


图 16.48 PPTP VPN 状态 


16.2.3 L2TP/IPSec VPN 在 PPTP VPN 的 基础 上 配置 


L2TP/IPSec VPN 中 身份 认证 的 方法 采用 基于 预 共享 密 钥 的 L2TP-IPSec 配置 ， 具 体 配 
置 过 程 如 下 。 
1， 服 务 器 端 配置 
(1) 在 “路 由 和 远程 访问 ”服务 中 选择 本 地 服务 器 ， 单 击 鼠 标 右键 ， 从 弹出 的 快捷 菜 
单 中 选择 “属性 ”命令 ， 如 图 16.49 所 示 。 
ET | =I9| x| 


文件 中 操作 和 查看 WW) 帮助 四 
亿 少 | 句 | 困 |X 罗 加 | 国力 


EE 
日 MM A mm 。， ma 一 > | 
GE 由 和 远程 访问 
远程 访问 客户 端 0; 禁用 路 由 和 远程 访问 G) 问 服务 器 安装 向 导 进行 了 配置 。 要 对 
端口 二 | 台 树 中 选择 一 个 项 目 ， 然后 在 “ 操 
IF 路 由 选择 所 有 任务 区 ) » 
运程 访问 策略 , 信息， 
A 在 看 四 部 团 方 案 ， 以 及 疑难 解答 的 更 多 信息 


图 16.49 选择 “属性 ” 


(2) 在 服务 器 端 设置 预 共享 密 钥 ， 该 密 钥 必须 与 之 后 在 客户 端 设 置 的 预 共 享 密 钥 相 
同 ， 如 图 16.50 所 示 。 


IIDIAN-CB6F1A90 (本 填 】 尾 社 Dx 
5 2 lm lm |B 老 | 
加 沪 问 客户 江水 技 呈 路 由 名 提 并 和 手 


身份 验证 提供 程序 0D - 
rindows 身份 验证 = | 
身份 验证 方法 WD 


记 帐 提供 程序 维护 这 接 请 求 和 会 话 日 志 。 


记 帐 提供 程序 Q); 
Pinm:ia | 
Re me 


打 为 2TF 连接 万 许 自 定义 IPSec 策略 LL) 
预 共 享 的 密 钥 四 


ps | 


图 16.50 设置 预 共享 密 钥 
2. Windows XP 客户 端 配置 
(1) 找到 “网 络 连接 ”窗口 中 “VPN 连接 ”的 图 标 ， 单 击 鼠 标 右键 ， 从 弹出 的 快捷 菜 
单 中 选择 “属性 ”命令 ， 如 图 16.51 所 示 。 
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图 16.51 选择 “属性 ” 


(2) 在 “VPN 连接 属性 ”对 话 框 中 选择 “安全 ”选项 卡 ， 单 击 “IPSec 设置 ”按钮 ， 
如 图 16.52 所 示 。 

(3) 在 “IPSec 设置 ”对 话 框 中 选中 “使 用 预 共 享 的 密 钥 作 身 份 验证 ” 复 选 框 ， 在 “ 密 
钥 ” 文 本 框 中 输入 同 服务 器 一 致 的 预 共 享 密 钥 ， 这 里 为 123456， 如 图 16.53 所 示 。 

(4) 在 “VPN 连接 属性 ”对 话 框 中 选择 “网 络 ” 选 项 卡 ， 在 “VPN 类 型 ”下 拉 列 表 
中 选择 L2TP IPSec VPN 选项 ， 如 图 16.54 所 示 。 


颁 哈 6 FTPN 民 条 峭 胰 雷 与 克 悦 
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常规 | 选项 | 安全 [网络 | 高 级 
安全 选项 
回身 型 推荐 设置) ([) 
验证 我 的 身份 为 中: 
| 需要 有 安全 拷 施 的 密码 ~ 


口 自动 使 用 我 的 Windows 登录 名 和 密码 及 域 ， 如 
果 有 的 话 ) 0D) 


回 要 求 数据 加 密 没有 就 断 开 ) GD) 


图 16.52 单 击 “IPSec 设置 ”按钮 图 16.53 设置 预 共享 密 钥 


寺 | 这 项 | 安全 [网 三 | 让] 
YPH 类 型 EE) 
自动 ~ 


PPTP VPN 


此 连接 使 用 下 列 项 目 O) 


回 晶 9eS 数据 包 计 划 程 序 
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图 16.54 选择 L2TP IPSec VPN 

3. 客户 端 启 用 IPSec 服务 

(1) 如 果 是 加 密 的 L2TP VPN， 那么 需要 启用 系统 的 IPSec 服务 ， 启 用 方式 : 右 击 “ 我 
的 电脑 ”图 标 ， 从 弹出 的 快捷 菜单 中 选择 “管理 ”命令 ， 在 打开 的 “计算 机 管理 ”窗口 中 
选择 “服务 和 应 用 程序 ”选项 ， 然 后 选择 “服务 ”选项 ， 找 到 Windows XP 系统 为 IPSec 
Services， 确 保 状 态 为 启动 ， 如 图 16.55 所 示 。 

(2) 设置 好 后 ,客户 端的 VPN 图 标 显示 该 链接 使 用 的 是 L2TP 协议 ， 如 图 16.56 所 示 。 

(3) 重新 单 击 “ 连 接 ” 进 行 拨号 ， 连 接 成 功 后 显示 为 已 连接 状态 ， 如 图 16.57 所 示 。 
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图 16.55 


虚拟 专用 网 络 


图 16.56 VPN 已 断 开 状态 图 16.57 VPN 已 连接 上 状态 


(4) 查看 VPN 状态 属性 ， 可 以 看 到 VPN 采用 的 协议 为 L2TP， 加 密 算法 变 为 IPSec， 
ESP 3DES， 还 可 查看 身份 认证 、 压 缩 算法 、 服 务 器 人 PP 地 址 、 客 户 端 IP 地 址 等 属性 ， 如 
图 16.58 所 示 。 

4. Windows 7 客户 端 配置 

(1) 在 计算 机 桌面 的 右 下 角 选 择 “打开 网 络 和 共享 中 心 ” 在 “拨号 和 VPN” 中 选择 
“VPN 连接 ”， 单 击 鼠 标 右键 ， 从 弹出 的 快捷 菜单 中 选择 “属性 ”命令 ， 如 图 16.59 所 示 。 
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图 16.58 ”VPN 状态 信息 图 16.59 选择 属性 


(2) 在 “VPN 连接 属性 ”对 话 框 中 选择 “安全 ”选项 卡 ， 在 “VPN 类 型 ”下 拉 列 表 
中 选择 “使 用 IPSec 的 第 2 层 隧道 协议 (L2TP/IPSec)” 选 项 ,然后 单 击 “ 高 级 设置 ”按钮 ， 
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会 弹出 “高 级 属性 ”对 话 框 ， 选 中 “使 用 预 共 享 的 密 钥 作 身 份 验证 ” 单 选 按 钮 ， 在 “ 密 钥 ” 
文本 框 中 输入 同 服务 器 一 致 的 预 共 享 密 钥 ， 这 里 为 123456， 如 图 16.60 所 示 。 
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图 允许 使 用 这 些 协议 外 ) 


回 未 加 密 的 密码 AP) 0 
回 质询 握 手 身份 验证 协议 CHAP) 00 


属性 B) 


悦 验证 服务 器 证 书 的 “名 称 ” 和 “用 法 ”属性 V) 


辆 Wicrosoft CHAF 版 本 2 0IS-CHAP v2) C) 


回忆 ya 登录 名 称 和 密码 及 


CE] mm 


图 16.60 设置 预 共享 密 钥 


(3) 启用 IPSec 服务 ， 如 果 是 加 密 的 L2TPVPN， 那 么 需要 启用 系统 的 IPSec 服务 ， 启 
用 方式 : 右 击 “ 我 的 电脑 ”图 标 ， 从 弹出 的 快捷 菜单 中 选择 “管理 ”命令 ， 在 打开 的 “ 计 
算 机 管理 ”窗口 中 选择 “服务 和 应 用 程序 ”选项 ,然后 选择 “服务 ” 选项， 找到 IPSec Policy 
Agent， 确 保 状 态 为 启动 ， 如 图 16.61 所 示 。 
(4) 查看 VPN 状态 属性 ， 可 以 看 到 VPN 采用 的 协议 为 L2TP， 加 密 算法 变 为 IPSec， 
ESP 3DES， 还 可 查看 身份 认证 、 压 缩 算法 、 服 务 器 人 P 地 址 、 客 户 端 人 P 地 址 等 属性 ， 如 


图 16.62 所 示 。 


- 


| 名称 
IKE and AuthlP Ipsec Keying Modules 
S Interactive Services Detection 
全 Internet Connection Sharing (ICS) 
$IP Helper 


各 Kaspersky Endpoint Security 服务 
KMService 
SS KtmRm for Distributed Transaction C... 


图 16.61 启动 IPSec Policy Agent 服务 


5. 查看 服务 器 端的 状态 信息 


Pei | 


搞 述 ”状态 启动 类 型 
IKEE..， 已 启动 自动 
启用 .… 手动 
为 家 … 手动 
使 用 .已 启动 _ 自 动 


保护 已 启动 自动 


192.168.1.10 


Soft.。 已 启动 ”自动 
协调 .… 手动 


图 16.62 


VPN 状态 信息 


(1) 客户 端 连 上 后 ,可 以 看 到 服务 器 端 有 一 个 WAN 微型 端口 (L2TP) 的 状态 变 成 “ 活 


动 ”， 如 图 16.63 所 示 。 


~ wm 一 


ES 
文件 四 换 作 名) 查看 WW 帮助 名 


所 才思 困 | 辕 日 对 | 鳃 轩 


FE 
服务 | 


器 状 太 

日 -多 XIDINFCB6T1A90 (本地) 
网 络 接 品 
远 各 访问 客户 清 (0) 


下 下 


轩 盟 IP 路 由 选择 
由 车 远程 访问 策略 
图 国 远 各 访问 记录 


里 
玲 

家 

oD 

a 

EI 

瑟瑟 号 号 
38 
嚼 组 
说 半 
茹 得 


WA 补 型 端口 2TP] 0 
WN 补 型 请 口 L2TP OP 
WA 巩 型 请 口 2TP] (VP 
NI 微型 请 口 UL2TP) QP 
AI 币 型 二 口 L2TP OP 
AN 葵 型 靖 口 UL2TP) (VP 


上 下 下 下 下 下 下 下 下 下 下 


图 16.63 ”端口 信息 
(2) 在 远程 访问 客户 端 上 可 以 看 到 是 哪个 用 户 连接 到 服务 器 ， 如 图 16.64 所 示 。 


文件 四 换 作 多 查看 中。 帮助 0 
+ 小 | 生 | 回 | 日 刀 | 久 轩 


ED ETTTTTTT 
[Fs | 


服务 器 状态 
日 加 XIDINFCBepiA90 (本地 ) 
网 络 接口 


端口 
田 各 ?路 由 渤 择 
由 二 远程 访问 第 略 
由 国 远程 访问 记录 


图 16.64 远程 访问 客户 端 信息 


实验 思考 题 


. PPTP 和 L2TP 登录 各 有 什么 特点 ? 

.在 进行 VPN 拨号 连接 前 是 否 能 访问 到 内 网 资源 ? 为 什么 ? 
. VPN 的 配置 服务 器 端 主要 配置 什么 内 容 ? 

. VPN 的 配置 客户 端 主要 配置 什么 内 容 ? 

.如 何 添加 新 的 认证 用 户 ? 

.如 何在 Windows 7 客户 端 进行 登录 ? 

. 预 共享 密 钥 的 作用 是 什么 ? 


VPN 恬 条 内 配 置 与 代用 


16 


章 


附录 A 网 络 安全 知识 手册 


当今 社会 ， 不 同年 龄 、 职 业 、 生 活 环境 的 人 们 几乎 都 会 随时 随地 接触 到 计算 机 网 络 ， 
它 为 我 们 的 学 习 、 工 作 和 生活 带 来 了 极 大 的 便利 。 通过 计算 机 网 络 , 学 生 轻松 地 学 习 知识 ， 
股民 方便 地 买卖 股票 ， 银 行 职员 迅捷 地 操作 业务 ， 办 公 室 人 员 大 大 提高 了 工作 效率 ， 旅 行 
者 免 去 了 排队 买 票 的 劳顿 之 苦 ， 还 有 更 多 的 人 通过 它 了 解 新 闻 、 搜 索 查 询 、 通 信 联 络 、 聊 
天 游戏 等 ， 计 算 机 网 络 使 我 们 的 生活 变 得 更 加 丰富 多 彩 。 

但 是 ， 使 用 计算 机 网 络 也 面临 着 计算 机 病毒 、 黑 客 攻击 、 网 络 诈骗 、 文 档 丢 失 、 个 人 
信息 泄露 等 危险 和 危害 。 本 手册 针对 常见 的 网 络 安全 问题 ， 提 供 了 一 些 简便 实用 的 措施 和 
方法 ， 帮 助 大 家 提升 网 络 安全 防范 意识 ， 提 高 网 络 安全 防护 技能 ， 遵 守 国家 网 络 安全 法 律 
和 法 规 ， 共 同 维护 、 营 造 和 谐 的 网 络 环境 。 


Al 计算 机 安全 篇 


1. 在 使 用 计算 机 过 程 中 应 该 采取 哪些 网 络 安全 防范 措施 

(1) 安装 防火 墙 和 防 病毒 软件 ， 并 经 常 升 级 。 

(2) 注意 经 常 给 系统 打 补 本 ， 堵 塞 软件 漏洞 。 

(3) 不 要 上 一 些 不 太 了 解 的 网 站 ， 不 要 执行 从 网 上 下 载 后 未 经 杀毒 软件 处 理 的 软件 ， 
不 要 打开 MSN 或 QQ 上 传 过 来 的 不 明文 件 等 。 

2. 如 何 防范 U 盘 、 移 动 硬盘 泄密 

(1) 及 时 查 杀 木马 与 病毒 。 

(2) 从 正规 商家 购买 可 移动 存储 介质 。 

(3) 定期 备份 并 加 密 重要 数据 。 

(4) 不 要 将 办 公 与 个 人 的 可 移动 存储 介质 混用 。 

3. 如 何 设置 Windows 操作 系统 开机 密码 

选择 “开始 ”一 “控制 面板 ”命令 ， 双 击 “ 用 户 账户 ”图 标 ， 选 择 账户 后 单 击 “ 创 建 
帘 码 ” 链 接 ， 输 入 两 遍 密码 后 单 击 “ 创 建 密码 ”按钮 。 

4. 如 何 将 网 页 浏览 器 配置 的 更 安全 

(1) 设置 统一 、 可 信 的 浏览 器 初始 页 面 。 

(2) 定期 清理 浏览 器 中 的 本 地 缓存 、 历 史记 录 及 临时 文件 内 容 。 

(3) 利用 病毒 防护 软件 对 所 有 下 载 资源 及 时 进行 恶意 代码 扫描 。 

5. 为 什么 要 定期 进行 补丁 升级 

编写 程序 不 可 能 十 全 十 美 , 所 以 软件 也 免不了 会 出 现 BUG， 而 补丁 是 专门 用 于 修复 这 
些 BUG 的 。 因 为 原来 发 布 的 软件 存在 缺陷 ， 发 现 之 后 另外 编制 一 个 小 程序 使 其 完善 ， 这 


种 小 程序 俗称 补丁 。 定 期 进行 补丁 升级 ， 升 级 到 最 新 的 安全 补丁 ， 可 以 有 效 地 防止 非法 
入 侵 。 

6. 计算 机 中 毒 有 哪些 症状 

(1) 经 常 死机 。 

(2) 文件 打 不 开 。 

(3) 经 常 报告 内 存 不 够 。 

(4) 提示 硬盘 空间 不 够 。 

(5) 出 现 大 量 来 历 不 明 的 文件 。 

(6) 数据 丢失 。 

(7) 系统 运行 速度 变 慢 。 

(8) 操作 系统 自动 执行 操作 。 

7. 为 什么 不 要 打开 来 历 不 明 的 网 页 、 电 子 邮 件 链接 或 附件 

互联 网 上 充斥 着 各 种 钓鱼 网 站 、 病 毒 、 木 马 程序 。 在 不 明 来 历 的 网 页 、 电 子 邮 件 链接 、 
附件 中 很 可 能 隐藏 着 大 量 的 病毒 、 木 马 ， 一 旦 打开 ， 这 些 病毒 、 木 马 会 自动 进入 计算 机 并 
隐藏 在 计算 机 中 ， 会 造成 文件 丢失 损坏 、 信 息 外 泄 ， 甚 至 导致 系统 瘫痪 。 

8. 接 入 移动 存储 设备 (如 移动 硬盘 和 U 盘 ) 前 为 什么 要 进行 病毒 扫描 

外 接 存储 设备 也 是 信息 存储 介质 ， 所 存 的 信息 很 容易 带 有 各 种 病毒 ， 如 果 将 带 有 病毒 
的 外 接 存储 介质 接 入 计算 机 ， 很 容易 将 病毒 传播 到 计算 机 中 。 

9. 计算 机 日 常 使 用 中 遇 到 的 异常 情况 有 哪些 

计算 机 出 现 故 障 可 能 是 由 计算 机 自身 硬件 故障 、 软 件 故障 、 误 操作 或 病毒 引起 的 ， 主 
要 包括 系统 无 法 启动 、 系 统 运行 变 慢 、 可 执行 程序 文件 大 小 改变 等 异常 现象 。 

10. Cookis 会 导致 怎样 的 安全 隐患 
当 用 户 访 问 一 个 网 站 时 ，Cookies 将 自动 储存 于 用 户 正 内 ， 其 中 包含 用 户 访问 该 网 站 
的 种 种 活动 、 个 人 资料 、 浏 览 习 惯 、 消 费 习 惯 ， 甚 至 信用 记录 等 。 这 些 信 息 用 户 无 法 看 到 ， 
当 浏览 器 向 此 网 址 的 其 他 主页 发 出 GET 请 求 时 ， 此 Cookies 信息 也 会 随 之 发 送 过 去 ， 这 些 
信息 可 能 被 不 法 分 子 获得 。 为 保障 个 人 隐私 安全 ， 可 以 在 正 设置 中 对 Cookies 的 使 用 做 出 
限制 。 


A2 上 网 安全 篇 


1， 如 何 防 范 病毒 或 木马 的 攻击 

(1) 为 计算 机 安装 杀毒 软件 ， 定 期 扫描 系统 、 查 杀 病 毒 ， 及 时 更 新 病毒 库 、 更 新 系统 
补丁 。 

(2) 下 载 软件 时 尽量 到 官方 网 站 或 大 型 软件 下 载 网 站 ， 在 安装 或 打开 来 历 不 明 的 软件 
或 文件 前 先 杀 毒 。 

(3) 不 随意 打开 不 明 网 页 链接 ， 尤 其 是 不 良 网 站 的 链接 ， 陌 生 人 通过 QQ 给 自己 传 链 
接 时 尽量 不 要 打开 。 

(4) 使 用 网 络 通信 工具 时 不 随意 接收 陌生 人 的 文件 ， 若 已 接收 可 通过 取消 “隐藏 已 知 
文件 类 型 扩展 名 ”的 功能 来 查看 文件 类 型 。 


附 
录 
A 


同 经 倪 会 知识 手 骨 


怡 稳 倪 会 与 管理 (过 二 族 ) 


(5) 对 公共 磁盘 空间 加 强权 限 管理 ， 定 期 查 杀 病毒 。 

(6) 打开 移动 存储 前 先 用 杀毒 软件 进行 检查 ， 可 在 移动 存储 器 中 建立 名 为 autorun.inf 
的 文件 夹 〈 可 防 U 盘 病毒 启动 )。 

(7) 需要 从 互联 网 等 公共 网 络 上 下 载 资料 转 入 内 网 计算 机 时 ， 用 刻录 光盘 的 方式 实现 
转 存 。 

(8) 对 计算 机 系统 的 各 个 账号 要 设置 口令 ， 及 时 删除 或 禁用 过 期 账号 。 

(9) 定期 备份 重要 文件 ， 以 便 遭 到 病毒 严重 破坏 后 能 迅速 修复 。 

2. 如 何 防 范 QQ、 微 博 等 账号 被 盗 

(1) 账户 和 密码 尽量 不 要 相同 ， 定 期 修改 密码 ， 增 加 密码 的 复杂 度 ， 不 要 直接 用 生日 、 
电话 号 码 、 证 件 号 码 等 有 关 个 人 信息 的 数字 作为 密码 。 

(2) 密码 尽量 由 大 小 写字 母 、 数 字 和 其 他 字符 混合 组 成 ， 适 当 增 加 密码 的 长 度 并 经 常 
更 换 。 

(3) 不 同 用 途 的 网 络 应 用 应 该 设置 不 同 的 用 户 名 和 密码 。 

(4) 在 网 吧 使 用 计算 机 前 重启 机 器 ， 警 惕 输入 账号 密码 时 被 人 偷 看 ; 为 防止 账号 被 侦 
听 ， 可 先 输入 部 分 账户 名 、 部 分 密码 ， 然 后 再 输入 剩 下 的 账户 名 、 密 码 。 

(5) 涉及 网 络 交易 时 ， 要 注意 通过 电话 与 交易 对 象 本 人 确认 。 

3， 如何 安 全 使 用 电子 邮件 

(1) 不 要 随意 点 击 不 明 邮 件 中 的 链接 、 图 片 、 文 件 。 

(2) 使 用 电子 邮件 地 址 作为 网 站 注册 的 用 户 名 时 ， 应 设置 与 原 邮 件 密码 不 相同 的 网 站 
密码 。 

(3) 适当 设置 找 回 密码 的 提示 问题 。 

(4) 当 收 到 与 个 人 信息 和 金钱 相关 《如 中 奖 、 集 资 等 ) 的 邮件 时 要 提高 警惕 。 

4. 如 何 防范 钓鱼 网 站 

(1) 通过 查询 网 站 备案 信息 等 方式 核实 网 站 资质 的 真 伪 。 

(2) 安装 安全 防护 软件 。 

(3) 警惕 中 奖 、 修 改 网 银 密码 的 通知 邮件 、 短 信 ， 不 轻 意 点 击 未 经 核实 的 陌生 链接 。 

(4) 不 在 多 人 共用 的 计算 机 上 办 理 金融 业务 ， 如 网 吧 等 公共 场所 。 

S， 如 何 保证 网 络 游戏 安全 

(1) 输入 密码 时 尽量 使 用 软 键盘 ， 并 防止 他 人 偷 宁 。 

(2) 为 计算 机 安装 安全 防护 软件 ， 从 正规 网 站 上 下 载 网 游 插 件 。 

(3) 注意 核实 网 游 地 址 。 

(4) 如 发 现 账号 异常 ， 应 立即 与 游戏 运营 商 联系 。 

6 如何 防范 网 络 虚 假 、 有 害 信 息 

(1) 及 时 举报 疑似 谣言 信息 。 

(2) 不 造谣 、 不 信 谣 、 不 传 谣 。 

(3) 注意 辨别 信息 的 来 源 和 可 靠 度 ， 通 过 经 第 三 方 可 信和 网 站 认证 的 网 站 获取 信息 。 

(4) 注意 打 着 “发 财 致富 ^“ 普 及 科学 “传授 新 技术 ”等 由 子 的 信息 。 

(5) 在 获得 相关 信息 后 ， 应 先 去 函 或 去 电 与 当地 工商 、 质 检 等 部 门 联系 ， 核 实情 况 。 

7. 当前 网 络 诈骗 类 型 该 如 何 防范 

网 络 诈骗 类 型 有 如 下 4 种 : 一 是 利用 QQ 盗号 和 网 络 游戏 交易 进行 诈骗 ， 冒 充 好 友 借 


钱 ; 二 是 网 络 购物 诈骗 ， 收 取 订 金 骗 钱 ; 三 是 网 上 中 奖 诈骗 ， 指 犯罪 分 子 利用 传播 软件 随 
意向 互联 网 QQ 用 户 、MSN 用 户 、 邮 箱 用 户 、 网 络 游戏 用 户 、 淘 宝 用 户 等 发 布 中 奖 提示 信 
息 ; 四 是 “网 络 钓鱼 ”诈骗 ， 利 用 欺骗 性 的 电子 邮件 和 伪造 的 互联 网 站 进行 诈骗 活动 ， 获 
得 受骗 者 财务 信息 进而 窃取 资金 。 

预防 网 络 诈 骗 的 措施 如 下 : 

(1) 不 贪 便宜 。 

(2) 使 用 比较 安全 的 支付 工具 。 

(3) 仔细 甄别 ， 严 加 防范 。 

(4) 不 在 网 上 购买 非 正当 产品 ， 如 手机 监听 器 、 毕 业 证 书 、 考 题 答案 等 。 

(5) 不 要 轻信 以 各 种 名 义 要 求 先 付款 的 信息 ， 不 要 轻易 把 自己 的 银行 卡 借 给 他 人 。 

(6) 提高 自我 保护 意识 ， 注 意 妥善 保管 自己 的 私人 信息 ， 不 向 他 人 透露 本 人 证 件 号 码 、 账 
号 、 密 码 等 ， 尽 量 避 免 在 网 吧 等 公共 场所 使 用 电子 商务 服务 。 

8. 如何 防 范 社交 网 站 信息 泄露 

(1) 利用 社交 网 站 的 安全 与 隐私 设置 保护 敏感 信息 。 

(2) 不 要 轻 意 点 击 未 经 核实 的 链接 。 

(3) 在 社交 网 站 谨慎 发 布 个 人 信息 。 

(4) 根据 自己 对 网 站 的 需求 选择 注册 。 

9， 如 何 保护 网 银 安全 

网 上 支付 的 安全 威胁 主要 表现 在 以 下 三 个 方面 : 一 是 密码 被 破解 ， 很 多 用 户 或 企业 使 
用 的 密码 都 是 “ 弱 密 码 ” 且 在 所 有 网 站 上 使 用 相同 密码 或 者 有 限 的 几 个 密码 ， 易 遭受 攻击 
者 暴力 破解 ; 二 是 病毒 、 木 马 攻击 ， 木 马 会 监视 浏览 器 正在 访问 的 网 页 ， 获 取 用 户 账户 、 
密码 信息 或 者 弹出 伪造 的 登录 对 话 框 ， 诱 骗 用 户 输入 相关 密码 ， 然 后 将 窃取 的 信息 发 送出 
去 ; 三 是 钓鱼 平台 ， 攻 击 者 利用 欺骗 性 的 电子 邮件 和 伪造 的 Web 站 点 进行 诈骗 ， 如 将 自己 
伪装 成 知名 银行 或 信用 卡 公司 等 可 信 的 品牌 ， 获 取 用 户 的 银行 卡号 、 口 令 等 信息 。 

保护 网 银 安全 的 防范 措施 如 下 : 

(1) 尽量 不 要 在 多 人 共用 的 计算 机 如 网 吧 等 ) 上 办 理 银行 业务 ， 发 现 账号 有 异常 情 
况 ， 应 及 时 修改 交易 密码 并 向 银行 求助 。 

(2) 核实 银行 的 正确 网 址 ， 安 全 登录 网 上 银行 ， 不 要 随意 点 击 未 经 核实 的 陌生 链接 。 

(3) 在 登录 时 不 选择 “ 记 住 密码 ” 复 选 框 ， 登 录 交 易 系统 时 尽量 使 用 软 键盘 输入 交易 
账号 及 密码 ， 并 使 用 该 银行 提供 的 数字 证 书 增强 安全 性 ， 核 对 交易 信息 。 

(4) 交易 完成 后 要 完整 保存 交易 记录 。 

(5) 网 上 银行 交易 完成 后 应 单 击 “ 退 出 ”按钮 。 使 用 器 盾 购物 时 ， 交 易 完成 后 要 立即 
拔 下 TU 盾 。 

(6) 对 网 络 单 笔 消费 和 网 上 转账 进行 金额 限制 ， 并 为 网 银 开通 短信 提醒 功能 ， 在 发 生 
交易 异常 时 及 时 联系 相关 客服 。 

(7) 通过 正规 渠道 申请 办 理 银行 卡 及 信用 卡 。 

(8) 不 要 使 用 存储 额 较 大 的 储蓄 卡 或 信用 额度 较 大 的 信用 卡 开 通 网 上 银行 。 

(9) 支付 密码 最 好 不 要 使 用 姓名 、 生 日 、 电 话 号 码 ， 也 不 要 使 用 12345 等 默认 密码 或 
与 用 户 名 相同 的 密码 。 
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(10) 应 注意 保护 自己 的 银行 卡 信息 资料 ， 不 要 把 相关 资料 随便 留 给 不 熟悉 的 公司 或 
刘 关 8 
10. 如 何 保护 网 上 炒股 安全 
网 上 炒股 面临 的 安全 风险 主要 体现 在 以 下 几 个 方面 : 一 是 网 络 钓鱼 ， 不 法 分 子 制作 仿 
冒 证 券 公司 网 站 ， 诱 导 人 们 登录 后 窃取 用 户 账号 和 密码 ; 二 是 盗 买 盗卖 ， 攻 击 者 利用 计算 
机 “木马 病毒 ”窃取 他 人 的 证 券 交易 账号 和 密码 后 低 价 抛售 他 人 股票 ， 自 己 低 价 买 入 后 再 
高 价 卖 出 ， 赚 取 差 价 。 

保护 网 上 炒股 安全 应 采取 如 下 措施 : 

(1) 保护 交易 密码 和 通信 和 密码。 

(2) 尽量 不 要 在 多 人 共用 的 计算 机 (如 网 吧 等 ) 上 进行 股票 交易 ， 并 注意 在 离开 计算 
机 时 锁 屏 。 

(3) 注意 核实 证 券 公司 的 网 站 地 址 ， 下 载 官方 提供 的 证 券 交 易 软件 ， 不 轻信 小 广告 。 

(4) 及 时 修改 个 人 账户 的 初始 密码 ， 设 置 安全 密码 ， 发 现 交易 有 异常 情况 时 要 及 时 修 
改 密码 ， 并 通过 截图 、 拍 照 等 保留 证 据 ， 第 一 时 间 向 专业 机 构 或 证 券 公司 求助 。 

11. 如 何 保护 网 上 购物 安全 

网 上 购物 面临 的 安全 风险 主要 有 如 下 方面 : 一 是 通过 网 络 进行 诈骗 ， 部 分 商家 恶意 在 
网 络 上 销售 自己 没有 的 商品 ， 因 为 绝 大 多 数 网 络 销售 是 先 付款 后 发 货 ， 等 收 到 款项 后 便 销 
声 匿 迹 ， 二 是 钓鱼 欺诈 网 站 ， 以 不 良 网 址 导航 网 站 、 不 良 下 载 网 站 、 钓 鱼 欺诈 网 站 为 代表 
的 “流氓 网 站 ”群体 正在 形成 一 个 庞大 的 灰色 利益 链 ， 使 消费 者 面临 网 购 风 险 ; 三 是 支付 
风险 ， 一 些 诈骗 网 站 盗 取 消费 者 的 银行 账号 、 密 码 、 口 令 卡 等 ， 同 时 消费 者 购买 前 的 支付 
程序 烦琐 及 退货 流程 复杂 、 时 间 长 ， 货 款 只 退 到 网 站 账号 ， 不 退 到 银行 账号 等 也 使 网 购 出 
现 安全 风险 。 

保护 网 上 购物 安全 的 主要 措施 如 下 : 

(1) 核实 网 站 资质 及 网 站 联系 方式 的 真 伪 ， 尽 量 到 知名 、 权 威 的 网 上 商城 购物 。 

(2) 尽量 通过 网 上 第 三 方 支付 平台 交易 ， 切 忌 直 接 与 卖家 私下 交易 。 

(3) 在 购物 时 要 注意 商家 的 信誉 、 评 价 和 联系 方式 。 

(4) 在 交易 完成 后 要 完整 保存 交易 订单 等 信息 。 

(5) 在 填写 支付 信息 时 ， 一 定 要 检查 支付 网 站 的 真实 性 。 

(6) 注意 保护 个 人 隐私 ， 直 接 使 用 个 人 的 银行 账号 、 密 码 和 证 件 号 码 等 敏感 信息 时 要 
慎重 。 

(7) 不 要 轻信 网 上 低 价 推销 广告 ， 也 不 要 随意 点 击 未 经 核实 的 陌生 链接 。 

12. 如 何 防 范 网 络 传销 

网 络 传销 一 般 有 两 种 形式 : 一 是 利用 网 页 进行 宣传 ， 鼓 吹 轻松 赚 大 钱 的 思想 ， 如 网 页 
上 的 “ 轻 点 鼠标 ， 您 就 是 富翁 ”^“ 坐 在 家 里 ， 也 能 赚钱 ”等 信息 ; 二 是 建立 网 上 交易 平台 ， 
靠 发 展会 员 聚 敛财 富 ， 主 要 通过 交纳 一 定 资金 或 购买 一 定数 量 的 产品 作为 “入 门 费 ” 获得 
加 入 资格 ， 或 通过 发 展 他 人 加 入 其 中 ， 形 成 上 下 线 的 层级 关系 ， 以 直接 或 间接 发 展 的 下 线 
所 交纳 的 资金 或 者 销售 业绩 为 计算 报酬 的 依据 。 

防范 网 络 传销 需 注意 以 下 方面 : 

(1) 在 遇 到 相关 创业 、 投 资 项 目 时 要 仔细 研究 其 商业 模式 。 无 论 打 着 什么 样 的 旗号 ， 


如 果 其 经 营 的 项 目 并 不 创造 任何 财富 ， 却 许诺 只 要 交 钱 入 会 ， 发 展 人 员 就 能 获取 “回报 ”， 
请 提高 警惕 。 

(2) 克服 贪 欲 ， 不 要 幻想 “一 夜 暴 富 ”。 如 果 抱 着 侥幸 心理 参与 其 中 ， 最 终 只 会 落得 
血本 无 归 、 倾 家 荡 产 ， 甚 至 走向 犯罪 的 道路 。 

13. 如 何 防范 假冒 网 站 

假冒 网 站 的 主要 表现 形式 有 两 种 : 一 是 假冒 网 站 的 网 址 与 真 网 站 网 址 较为 接近 ; 二 是 
假冒 网 站 的 页 面 形 式 和 内 容 与 真 网 站 较为 相似 。 

不 法 分 子 欺诈 的 手法 通常 有 三 种 : 一 是 将 假冒 网 站 地 址 发 送 到 客户 的 计算 机 上 或 放 在 
搜索 网 站 上 诱骗 客户 登录 ， 窃 取 客 户 信息 ; 二 是 通过 手机 短信 、 邮 箱 等 ， 冒 充 银行 名 义 发 
送 诈 骗 短 信 ， 诱 骗 客户 登录 假冒 网 站 ; 三 是 建立 假冒 电子 商务 网 站 ， 通 过 假 的 支付 页 面 窃 
取 客 户 网 上 银行 信息 。 

防范 假冒 网 站 的 措施 如 下 : 

(1) 直接 输入 所 要 登录 网 站 的 网 址 ， 不 通过 其 他 链接 进入 。 

(2) 登录 网 站 后 留意 核对 所 登录 的 网 址 与 官方 公布 的 网 址 是 否 相符 。 

(3) 登录 官方 发 布 的 相关 网 站 辨识 真 伪 。 

(4) 安装 防护 软件 ， 及 时 更 新 系统 补丁 。 

(5) 当 收 到 邮件 、 短 信 、 电 话 等 要 求 到 指定 的 网 页 修改 密码 ， 或 通知 中 奖 并 要 求 在 领 
取 奖 金 前 先 支付 税金 、 邮 费 等 时 务必 提高 警惕 。 

14. 如 何 准确 访问 和 识别 党 政 机 关 、 事 业 单 位 网 站 

按照 党 政 机 关 、 事 业 单 位 网 站 与 其 实体 名 称 对 应 ， 网 络 身 份 与 实体 机 构 相 符 的 原则 ， 
国家 专门 设立 “. 政 务 ” 和 “. 公 益 ” 中 文 域名 ， 由 工业 和 信息 化 部 授权 中 央 编 办 电子 政务 
中 心 负责 注册 管理 。 

(1) 通过 中 文 域名 访问 党 政 机 关 、 事 业 单 位 网 站 。 

政务” 和“. 公益” 域名 是 党 政 机 关 和 事业 单位 的 专用 中 文 域名 ， 其 注册 、 解 析 均 由 
机 构 编制 部 门 进行 严格 审核 和 管理 。 通 过 在 浏览 器 地 址 栏 输 入 “. 政 务 ” 和 “. 公 益 ” 中 文 
域名 ， 可 准确 访问 党 政 机 关 和 事业 单位 网 站 。 

(2) 通过 查看 网 站 标识 识别 。 

党 政 机 关 和 事业 单位 网 站 标识 是 经 机 构 编 制 部 门 核准 后 统一 颁发 的 电子 标识 ， 该 标识 
显示 在 网 站 所 有 页 面 底部 中 间 显著 位 置 。 单 击 该 标识 即 可 查看 到 经 机 构 编制 部 门 审核 确认 
的 该 网 站 主办 单位 的 名 称 、 机 构 类 型 、 地 址 、 职 能 ， 以 及 网 站 名 称 、 域 名 和 标识 发 放 单位 、 
发 放 时 间 等 信息 ， 以 确认 该 网 站 是 否 为 党 政 机 关 或 事业 单位 网 站 。 网 站 标识 分 为 党 政 机 关 
和 事业 单位 两 类 。 

15. 如 何 防范 网 络 非法 集资 

非法 集资 的 特点 如 下 : 一 是 未 经 有 关 部 门 依法 批准 ， 包 括 没 有 批准 权限 的 部 门 批准 的 
集资 , 以 及 有 批准 权限 但 超越 权限 批准 的 集资 ; 二 是 承诺 在 一 定期 限 内 给 出 资 人 还 本 付 息 ， 
还 本 付 息 的 形式 除 以 货币 形式 为 主 外 ， 还 包括 实物 形式 或 其 他 形式 ， 三 是 向 社会 不 特定 对 
象 及 社会 公众 筹集 资金 ， 集 资 对 象 多 为 下 岗 职 工 、 退 休 人 员 、 农 民 等 低 收入 阶层 ， 承 受 经 
济 损失 的 能 力 较 低 ， 四 是 以 合法 形式 掩盖 其 非法 集资 的 性 质 。 

防范 非法 集资 的 注意 事项 如 下 : 


司 经 倪 会 知识 手 凡 


风疹 人 委 会 与 合理 ( 谎 二 把 ) 


(1) 加 强 法 律 知识 学 习 ， 增 强 法 律 观念 。 

(2) 要 时 刻 紧 绷 防 范 思 想 ， 不 要 被 各 种 经 济 诱惑 蒙骗 ， 据 弃 “ 发 横财 ”和 “ 暴 富 ”等 
不 劳 而 获 的 思想 。 

(3) 在 投资 前 详细 做 足 调查 ， 对 集资 者 的 底细 了 解 清楚 。 

(4) 若 要 投资 股票 、 基 金 等 金融 证 券 ， 应 通过 合法 的 证 券 公司 申购 和 交易 ， 不 轻信 非 
法 从 事 证 券 业 务 的 人 员 和 机 构 ， 以 及 小 广告 、 网 络 信息 、 手 机 短信 、 推 介 会 等 方式 。 

(5) 社会 公众 不 要 轻信 非法 集资 犯罪 嫌疑 人 的 任何 承诺 ， 以 免 造 成 无 法 挽回 的 巨大 经 
济 损失 。 

16. 使 用 ATM 机 时 需要 注意 哪些 问题 

(1) 使 用 自助 银行 服务 终端 时 ， 留 意 周围 是 否 有 可 疑 的 人 ， 操 作 时 应 避免 他 人 干扰， 
用 一 只 手 挡住 密码 键盘 ， 防 止 他 人 偷窥 密码 。 

(2) 遭遇 吞 卡 、 未 吐 钞 等 情况 应 拨打 发 卡 银行 的 全 国 统一 客服 热线 ， 及 时 与 发 卡 银行 
取得 联系 。 

(3) 不 要 拨打 机 具 旁 粘贴 的 电话 号 码 ， 不 要 随意 丢弃 打印 单据 。 

(4) 刷卡 门禁 不 需要 输入 密码 。 

17. 受骗 后 该 如 何 减 少 自身 的 损失 

(1) 及 时 致电 发 卡 银行 客服 热线 或 直接 向 银行 柜 面 报告 欺诈 交易 ， 监 控 银行 卡 交 易 或 
冻结 、 止 付 银行 卡 账户 。 如 被 骗 钱 款 后 能 准确 记 住 诈骗 的 银行 卡 账号 ， 可 通过 拨打 95516 
银联 中 心 客服 电话 的 人 工 服 务 台 ， 查 清 该 诈骗 账号 的 开户 银行 和 开户 地 点 (可 精确 至 地 
市 级 )。 

(2) 对 已 发 生 损 失 或 情况 严重 的 ， 应 及 时 向 当地 公安 机 关 报 案 。 

(3) 配合 公安 机 关 及 发 卡 银行 做 好 调查 、 举 证 工作 。 

18. 网 络 服务 提供 者 和 其 他 企 事 业 单 位 在 业务 活动 中 收集 、 使 用 公民 的 个 人 电子 信息 
应 当 遵 循 什么 原则 

应 当 遵 循 合法 、 正 当 、 必 要 的 原则 ， 明 示 收 集 和 使 用 信息 的 目的 、 方 式 和 范围 ， 并 经 
被 收集 者 同意 ; 不 得 违反 法 律 、 法 规 的 规定 及 双方 的 约定 来 收集 和 使 用 公民 个 人 电子 信息 。 

19. 当 公 民 发 现 网 上 有 泄露 个 人 身份 、 侵 犯 个 人 隐私 的 网 络 信息 时 该 怎么 办 

公民 发 现 泄露 个 人 身份 、 侵 犯 个 人 隐私 的 网 络 信 息 ， 或 者 受到 商业 性 电子 信息 侵扰 ， 
有 权 要 求 网 络 服务 提供 者 删除 有 关 信 息 或 采取 其 他 必要 措施 予以 制止 ， 必 要 时 可 向 相关 的 
网 络 安全 事件 处 置 机 构 进 行 举报 或 求援 。 


A3 ”移动 终端 安全 


1， 如何 安全 地 使 用 WiFi 

目前 WiFi 陷阱 有 两 种 ， 一 是 “ 设 套 ”， 主 要 是 在 宾馆 、 饭 店 、 咖 啡 厅 等 公共 场所 搭建 
免费 WiFi， 骗 取 用 户 使 用 ， 并 记录 其 在 网 上 进行 的 所 有 操作 记录 ; 二 是 “进攻 ”， 主 要 针 
对 一 些 在 家 里 组 建 WiFi 的 用 户 ， 即 使 用 户 设置 了 WiFi 密码， 如果 密码 强度 不 高 的 话 ， 黑 
客 也 可 通过 暴力 破解 的 方式 破解 家 庭 WiFi， 进 而 可 能 对 用 户 机 器 进行 远程 控制 。 


安全 地 使 用 WiFi， 要 做 到 以 下 几 个 方面 : 

(1) 勿 见 到 免费 WiFi 就 用 ， 要 用 可 靠 的 WiFi 接 入 点 ， 关 闭 手 机 和 平板 计算 机 等 设备 
的 无 线 网 络 自动 连接 功能 ， 仅 在 需要 时 开启 。 

(2) 警惕 公共 场所 免费 的 无 线 信号 为 不 法 分 子 设置 的 钓鱼 陷阱 ， 尤 其 是 一 些 和 公共 场 
所 内 已 开放 的 WiFi 同名 的 信号 。 在 公共 场所 使 用 陌生 的 无 线 网 络 时 ， 尽 量 不 要 进行 与 资 
金 有 关 的 银行 转账 与 支付 。 

(3) 修改 无 线路 由 器 默认 的 管理 员 用 户 名 和 密码 ， 将 家 中 无 线路 由 器 的 密码 设置 的 复 
杂 一 些 ， 并 采用 强 密码 ， 最 好 是 字母 和 数字 的 组 合 。 

(4) 启用 WPA/WEP 加 密 方式 。 

(5) 修改 默认 SSID 号 ， 关 闭 SSID 广播 。 

(6) 启用 MAC 地 址 过 滤 。 

(7) 无 人 使 用 时 关闭 无 线路 由 器 电源 。 

2. 如 何 安全 地 使 用 智能 手机 

(1) 为 手机 设置 访问 密码 是 保护 手机 安全 的 第 一 道 防 线 ， 以 防 智能 手机 丢失 时 犯罪 分 
子 可 能 会 获得 通讯 录 、 文 件 等 重要 信息 并 加 以 利用 。 

(2) 不 要 轻易 打开 陌生 人 通过 手机 发 送 的 链接 和 文件 。 

(3) 为 手机 设置 锁 屏 密码 ， 并 将 手机 随身 携带 。 

(4) 在 QQ、 微 信 等 应 用 程序 中 关闭 地 理 定位 功能 ， 并 且 仅 在 需要 时 开启 蓝牙 。 

(5) 经 常 为 手机 数据 做 备份 。 

(6) 安装 安全 防护 软件 ， 并 经 常 对 手机 系统 进行 扫描 。 

(7) 到 权威 网 站 下 载 手机 应 用 软件 ， 并 在 安装 时 谨慎 选择 相关 权限 。 

(8) 不 要 试图 破解 自己 的 手机 ， 以 保证 应 用 程序 的 安全 性 。 

3. 如 何 防范 病毒 和 木马 对 手机 的 攻击 

(1) 为 手机 安装 安全 防护 软件 ， 开 启 实时 监控 功能 ， 并 定期 升级 病毒 库 。 

(2) 警惕 收 到 的 陌生 图 片 、 文 件 和 链接 ， 不 要 轻易 打开 在 QQ、 微 信 、 短 信 、 邮 件 中 
的 链接 。 

(3) 到 权威 网 站 下 载 手机 应 用 。 

4. 如 何 防 范 “ 伪 基站 ”的 危害 

今年 以 来 出 现 了 一 种 利用 “ 伪 基 站 ”设备 作案 的 新 型 违法 犯罪 活动 。“ 伪 基站 ”设备 
是 一 种 主要 由 主机 和 笔记 本 电脑 组 成 的 高 科技 仪器 ， 能 够 搜 取 以 其 为 中 心 、 一 定 半径 范围 
内 的 手机 卡 信息 , 并 任意 冒 用 他 人 手机 号 码 强 行 向 用 户 手机 发 送 诈骗 、 广 告 推销 等 短信 息 。 
犯罪 嫌疑 人 通常 将 “ 伪 基 站 ” 放 在 车 内 ， 在 路 上 缓慢 行驶 或 将 车 停放 在 特定 区 域 ， 从 事 短 
信 诈 骗 、 广 告 推销 等 违法 犯罪 活动 。 

“ 伪 基 站 ”短信 诈骗 主要 有 两 种 形式 : 一 是 “ 广 种 薄 收 式 ”， 嫌疑 人 在 银行 、 商 场 等 人 
流 密集 地 以 各 种 汇款 名 目 向 一 定 半 径 范 围 内 的 群众 手机 发 送 诈 骗 短 信 ; 二 是 “定向 选择 式 ”， 
嫌疑 人 筛选 出 手机 号 后 ， 以 该 号 码 的 名 义 向 其 亲朋 好 友 、 同 事 等 熟人 发 送 短信 ， 实 施 定向 
诈骗 。 


et 


目 户 防范 “ 伪 基 站 ”诈骗 短信 可 从 如 下 方面 着 手 : 
(1) 当 用 户 发 现 手 机 无 信号 或 信号 极 弱 时 仍然 能 收 到 推销 、 中 奖 、 银 行 相关 短信 ， 则 


附 
录 
A 


司 经 倪 会 知识 手 骨 


风疹 人 委 会 与 合理 ( 谎 二 把 ) 


用 户 所 在 区 域 很 可 能 被 “ 伪 基 站 ” 禾 盖 ,不 要 相信 短信 的 任何 内 容 , 不 要 轻信 收 到 的 中 奖 、 
推销 信息 ， 不 轻信 意外 之 财 。 

(2) 不 要 轻信 任何 号 码 发 来 的 涉及 银行 转账 及 个 人 财产 的 短信 ， 不 向 任何 陌生 账号 
转账 。 

(3) 安装 手机 安全 防护 软件 ， 以 便 对 收 到 的 垃圾 短信 进行 精准 拦截 。 

S， 如 何 防范 骚扰 电话 、 电 话 诈 骗 、 垃 圾 短信 

用 户 使 用 手机 时 遭遇 的 垃圾 短信 、 骚 扰 电话 、 电 信 诈 骗 主要 有 以 下 4 种 形式 : 一 是 冒 
充 国家 机 关 工 作 人 员 实施 诈骗 ， 二 是 冒充 电信 等 有 关 职 能 部 门 工作 人 员 ， 以 电信 欠 费 、 送 
话费 等 为 由 实施 诈骗 ， 三 是 冒充 被 害 人 的 亲属 、 朋 友 ， 编 造 生 急病 、 发 生 车 祸 等 意外 急需 
用 钱 ， 从 而 实施 诈骗 ， 四 是 冒充 银行 工作 人 员 ， 假 称 被 害 人 银联 卡 在 某 地 刷卡 消费 ， 诱 使 
被 害 人 转账 实施 诈骗 。 

在 使 用 手机 时 ， 防 范 骚扰 电话 、 电 话 诈骗 、 垃 圾 短信 的 主要 措施 如 下 : 

(1) 克服 “ 贪 利 ”思想 ， 不 要 轻信 ， 谨 防 上 当 。 

(2) 不 要 轻易 将 自己 或 家 人 的 身份 、 通 信 信 息 等 家 庭 、 个 人 资料 泄露 给 他 人 ， 对 涉及 
亲人 和 朋友 求助 、 借 钱 等 内 容 的 短信 和 电话 要 仔细 核对 。 

(3) 接 到 培训 通知 、 以 银行 信用 卡 中 心 名 义 声称 银行 卡 升级 、 招 工 、 婚 介 类 等 信息 时 
要 多 做 调查 。 

(4) 不 要 轻信 涉及 加 害 、 举 报 、 反 洗钱 等 内 容 的 陌生 短信 或 电话 ， 既 不 要 理 皮 ， 更 不 
要 为 “ 消 灾 ”将 钱 款 汇 入 犯罪 分 子 指定 的 账户 。 

(5) 对 于 广告 “推销 ”特殊 器 材 、 违 禁 品 的 短信 和 电话 ， 应 不 予 理 坚 并 及 时 清除 ， 不 
要 汇款 购买 。 

(6) 到 银行 自动 取款 机 (ATM 机 ) 存 取 钱 时 遇 到 银行 卡 被 堵 、 被 吞 等 意外 情况 ， 应 认 
真 识 别 自动 取款 机 “提示 ”的 真 伪 ， 不 要 轻信 ， 可 拨打 95516 银联 中 心 客服 电话 的 人 工 服 
务 台 了 解 查 问 。 

(7) 遇见 诈骗 类 电话 或 信息 , 应 及 时 记 下 犯罪 分 子 的 电话 号 码 、 电 子 邮 件 地 址 、QQ 号 
及 银行 卡 账号 ， 并 记 住 犯罪 分 子 的 口音 、 语 言 特征 和 诈骗 的 手段 及 经 过 ， 及 时 到 公安 机 关 
报案 ,积极 配合 公安 机 关 开 展 侦查 破案 和 追缴 被 骗 款 等 工作 。 

6. 出 差 在 外 ， 如 何 确 保 移动 终端 的 隐私 安全 

(1) 出 差 之 前 备份 好 宝贵 数据 。 

(2) 不 要 登录 不 安全 的 无 线 网 络 。 

(3) 在 上 网 浏览 时 不 要 选择 “ 记 住 用 户 名 和 密码 ” 复 选 框 。 

(4) 使 用 互联 网 浏览 器 后 ， 应 清空 历史 记录 和 缓存 内 容 。 

(5) 使 用 公用 计算 机 时 ， 当 心 击 键 记录 程序 和 跟踪 软件 。 

7. 如 何 防范 智能 手机 信息 泄露 

(1) 利用 手机 中 的 各 种 安全 保护 功能 ， 为 手机 、SIM 卡 设 置 密码 并 安装 安全 软件 ， 减 
少 手机 中 的 本 地 分 享 ， 对 程序 执行 权限 加 以 限制 。 

(2) 谨慎 下 载 应 用 ,尽量 从 正规 网 站 下 载 手 机 应 用 程序 和 升级 包 ， 对 手机 中 的 Web 站 
点 提高 警惕 。 
(3) 禁用 WiFi 自动 连接 到 网 络 功能 ， 使 用 公共 Wi-Fi 有 可 能 被 盗用 资料 。 


(4) 下 载 软件 或 游戏 时 应 详细 阅读 授权 内 容 ， 防 止 将 木马 带 到 手机 中 。 

(5) 经 常 为 手机 做 数据 同步 备份 。 

(6) 勿 见 码 就 刷 。 

8. 如 何 保护 手机 支付 安全 

目前 移动 支付 上 存在 的 信息 安全 问题 主要 集中 在 以 下 两 个 方面 : 一 是 手机 丢失 或 被 
盗 ， 即 不 法 分 子 盗 取 受害 者 手机 后 ， 利 用 手机 的 移动 支付 功能 窃取 受害 者 的 财物 ， 二 是 用 
户 信息 安 全 意识 不 足 ， 轻 信和 钓鱼 网 站 ， 当 不 法 分 子 要 求 自己 告知 对 方 敏感 信息 时 无 警惕 之 
心 ， 从 而 导致 财物 被 盗 。 

手机 支付 毕竟 是 一 个 新 事物 ， 尤 其 是 通过 移动 互联 网 进行 交易 ， 安 全 防范 工作 一 定 要 
做 足 ， 不 然 智 能 手机 也 会 “ 引 狼 入 室 ”。 

保护 智能 手机 支付 安全 的 措施 如 下 : 

(1) 保证 手机 随身 携带 ， 建 议 手 机 支付 客户 端 与 手机 绑 定 ， 使 用 数字 证 书 ， 开 启 实 名 
认证 。 

(2) 最 好 从 官方 网 站 下 载 手机 支付 客户 端 和 网 上 商城 应 用 。 

(3) 使 用 手机 支付 服务 前 ， 按 要 求 在 手机 上 安装 专门 用 于 安全 防范 的 插件 。 

(4) 登录 手机 支付 应 用 、 网 上 商城 时 勿 选择 “ 记 住 密码 ”选项 。 

(5) 经 常 查看 手机 任务 管理 器 ， 检 查 是 否 有 恶意 程序 在 后 台 运行 ， 并 定期 使 用 手机 安 
全 软件 扫描 手机 系统 。 


A4 个 人 信息 安全 


1， 容易 被 忽视 的 个 人 信息 有 了 哪些 
个 人 信息 是 指 与 特定 自然 人 相关 ， 能 够 单独 或 通过 与 其 他 信息 结合 识别 该 特定 自然 人 
的 数据 。 一 般 包 括 姓 名 、 职 业 、 职 务 、 年 龄 、 血 型 、 婚 姻 状 况 、 宗 教 信仰 、 学 历 、 专 业 资 
格 、 工 作 经 历 、 家 庭 住址 、 电 话 号 码 〈 手 机 用 户 的 手机 号 码 )、 身 份 证 号 码 、 信 用 卡号 码 、 
痢 纹 、 病 史 、 电 子 邮 件 、 网 上 登录 账号 和 密码 等 。 获 盖 了 自然 人 的 心理 、 生 理 、 智 力 ， 以 
及 个 体 、 社 会 、 经 济 、 文 化 、 家 庭 等 各 个 方面 。 
个 人 信息 可 以 分 为 个 人 一 般 信息 和 个 人 敏感 信息 。 个 人 一 般 信息 是 指正 常 公开 的 普通 
信息 ， 如 姓名 、 性 别 、 年 龄 、 爱 好 等 。 个 人 敏感 信息 是 指 一 旦 遭 到 泄露 或 修改 ， 会 对 标识 
的 个 人 信息 主体 造成 不 良 影响 的 个 人 信息 。 各 行业 个 人 敏感 信息 的 具体 内 容 根据 接受 服务 
的 个 人 信息 主体 意愿 和 各 自 业 务 特点 确定 ， 如 个 人 敏感 信息 可 以 包括 身份 证 号 码 、 手 机 号 
码 、 种 族 、 政 治 观点 、 宗 教 信仰 、 基 因 、 指 纹 等 。 

2. 个 人 信息 泄露 的 途径 及 后 果 

目前 ， 个 人 信息 的 泄露 主要 有 以 下 途径 : 

(1) 利用 互联 网 搜索 引擎 搜索 个 人 信息 ， 汇 集成 册 ， 并 按照 一 定 的 价格 出 售 给 需要 购 
买 的 人 。 

(2) 旅馆 住宿 、 保 险 公司 投保 、 租 赁 公司 、 银 行 办 证 、 电 信 、 和 移动、 联通、 房地产 、 
邮政 部 门 等 需要 身份 证 件 实名 登记 的 部 门 、 场 所 ， 个 别人 员 利 用 登记 的 便利 条 件 泄露 客户 
个 人 信息 。 
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(3) 个 别 违规 打字 店 、 复 印 店 利用 复印 、 打 字 之 便 将 个 人 信息 资料 存档 留 底 ， 装 订 成 
册 ， 对 外 出 售 。 

(4) 借 各 种 “问卷 调查 ”之 名 窃取 群众 个 人 信息 ， 他 们 宣称 只 要 在 “调查 问卷 表 ” 上 
填写 详细 联系 方式 、 收 入 情况 、 信 用 卡 情况 等 内 容 ， 以 及 简单 的 “ 勾 挑 式 ” 调 查 ， 就 能 获 
得 不 等 奖 次 的 奖品 ， 以 此 诱 使 群众 填写 个 人 信息 。 

(5) 在 抽奖 券 的 正副 页 上 填写 姓名 、 家 庭 住址 、 联 系 方式 等 可 能 会 导致 个 人 信息 泄露 。 

(6) 在 购买 电子 产品 、 车 辆 等 物品 时 ， 在 一 些 非 正 规 的 商家 填写 非 正规 的 “售后 服务 
单 ”， 从 而 被 人 利用 了 个 人 信息 。 

(7) 超市 、 商 场 通过 向 群众 邮寄 免费 资料 、 申 办 会 员 卡 时 掌握 到 的 群众 信息 ， 通 过 个 
别人 向 外 泄露 。 目 前 ， 针 对 个 人 信息 的 犯罪 已 经 形成 了 一 条 灰色 的 产业 链 ， 在 这 个 链条 中 
有 专门 从 事 个 人 信息 收集 的 泄密 源 团体 ， 他 们 之 中 包括 一 些 有 合法 权限 的 内 部 用 户主 动 通 
过 QQ、 互联网、 邮件、 移动 存 储 等 各 类 渠道 泄露 信息 。 还 包括 一 些 黑客 ， 通 过 攻击 行为 
获得 企业 或 个 人 的 数据 库 信 息 。 有 专门 向 泄密 源 团体 购买 数据 的 个 人 信息 中 间 商 团体 ， 他 
们 根据 各 种 非法 需求 向 泄密 源 购 买 数据 ， 作 为 中 间 商 向 有 需求 者 推销 数据 ， 作 为 中 间 商 买 
卖 、 共 享 和 传播 各 种 数据 库 。 还 有 专门 从 中 间 商 团体 购买 个 人 信息 并 实施 各 种 犯罪 的 使 用 
人 团体 ， 他 们 是 实际 利用 个 人 信息 侵害 个 人 利益 的 群体 。 据 不 完全 统计 ， 这 些 人 在 获得 个 
人 信息 后 会 利用 个 人 信息 从 事 5 类 违法 犯罪 活动 : 

(1) 电信 诈骗 、 网 络 诈骗 等 新 型 、 非 接触 式 犯罪 。 如 2012 年 年 底 ， 北 京 、 上 海 、 深 
圳 等 城市 相继 发 生 大 量 电话 诈骗 学 生 家 长 案件 。 犯 罪 分 子 利用 非法 获取 的 公民 家 庭 成 员 信 
息 ， 向 学 生 家 长 打 电 话 谎 称 其 在 校 子 女 遭 绑架 或 突然 生病 ， 要 求 紧急 汇款 解救 或 医治 ， 以 
此 实施 诈骗 。 

(2) 直接 实施 抢 动 、 敲 诈 勒 索 等 严重 暴力 犯罪 活动 。 如 2012 年 年 初 ， 广 州 发 生 犯 罪 
分 子 根据 个 人 信息 资料 ， 冒 充 快 递 ， 直 接 上 门 抢 动 ， 造 成 户主 一 死 两 伤 的 恶性 案件 。 

(3) 实施 非法 商业 竞争 。 不 法 分 子 以 信息 咨询 、 商 务 咨询 为 掩护 ， 利 用 非法 获取 的 公 
民 个 人 信息 收买 客户 ， 打 压 竞争 对 手 。 

(4) 非法 干扰 民事 诉讼 。 不 法 分 子 利用 购买 的 公民 个 人 信息 ， 介 入 婚姻 纠纷 、 财 产 继 
承 、 债 务 纠纷 等 民事 诉讼 ， 对 群众 正常 生活 造成 极 大 困扰 。 

(5) 滋 扰 民众 。 不 法 分 子 获得 公民 个 人 信息 后 ， 通 过 网 络 人 肉 搜 索 、 信 息 上 曝光 等 行为 
滋 扰 民众 生活 。 如 2011 年 北京 发 生 一 起 案件 ， 男女 双方 由 于 分 手 后 发 生 口角 , 闫 某 前 男友 
将 其 个 人 私密 照片 在 网 上 曝光 ， 给 闫 某 造 成 极 大 困扰 。 

3， 如 何 防范 个 人 信息 泄露 

(1) 在 安全 级 别 较 高 的 物理 或 逻辑 区 域内 处 理 个 人 敏感 信息 。 

(2) 敏感 个 人 信息 需 加 密 保存 。 

(3) 不 使 用 U 盘存 储 交互 个 人 敏感 信息 。 

(4) 尽量 不 要 在 可 访问 互联 网 的 设备 上 保存 或 处 理 个 人 敏感 信息 。 

(5) 只 将 个 人 信息 转移 给 合法 的 接收 者 。 

(6) 个 人 敏感 信息 需 带 出 公司 时 要 防止 被 盗 、 丢 失 。 

(7) 电子 邮件 发 送 时 要 加 密 ， 并 注意 不 要 错 发 。 

(8) 邮包 寄 送 时 选择 可 信赖 的 邮寄 公司 ， 并 要 求 回执 。 


(9) 避免 传真 错误 发 送 。 
(10) 纸 质 资料 要 用 碎 纸 机 销毁 。 
(11) 废弃 的 光盘 、U 盘 、 计 算 机 等 要 消 磁 或 彻底 破坏 。 


AS ”网络 安全 中 用 到 的 法 律 知识 


1. 违反 《全 国人 民 代表 大 会 常务 委员 会 关于 加 强 网 络 信 息 保护 的 决定 》 的 单位 或 者 
个 人 会 被 给 予 什么 处 罚 

对 有 违反 本 决定 行为 的 ， 依 法 给 予 警 告 、 罚 款 、 没 收 违法 所 得 、 吊 销 许可 证 或 者 取消 
备案 、 关 闭 网 站 、 禁 止 有 关 责任 人 员 从 事 网 络 服务 业务 等 处 罚 ， 记 入 社会 信用 档案 并 予以 
公布 。 构 成 违反 治安 管理 行为 的 ， 依 法 给 予 治安 管理 处 罚 。 构 成 犯罪 的 ， 依 法 追究 刑事 责 
任 。 侵 害 他 人 民事 权益 的 ， 依 法 承担 民事 责任 。 

2. 网 上 的 哪些 行为 会 被 认定 为 《刑法 》 第 二 百 四 十 六 条 第 一 款 规定 的 “捏造 事实 诽 
谤 他 人 ” 

(1) 捏造 损害 他 人 名 誉 的 事实 ， 在 信息 网 络 上 散布 ， 或 者 组 织 、 指 使 人 员 在 信息 网 络 
上 散布 。 

(2) 将 信息 网 络 上 涉及 他 人 的 原始 信息 内 容 自 改 为 损害 他 人 名 誉 的 事实 ， 在 信息 网 络 
上 散布 ， 或 者 组 织 、 指 使 人 员 在 信息 网 络 上 散布 。 

(3) 明知 是 捏造 的 损害 他 人 名 人 誉 的 事实 ， 在 信息 网 络 上 散布 ， 情 节 恶 劣 的 ， 以 “捏造 
事实 诽谤 他 人 ” 论 。 

3. 利用 信息 网 络 诽谤 他 人 ， 在 什么 情形 下 应 当 认定 为 《刑法 》 第 二 百 四 十 六 条 第 一 
款 规定 的 “情节 严重 ” 

(1) 同一 诽谤 信息 实际 被 点 击 、 浏 览 次 数 达到 5 千 次 以 上 ， 或 者 被 转发 次 数 达 到 500 
以 上 的 。 

(2) 造成 被 害 人 或 者 其 近亲 属 精 神 失常 、 自 残 、 自 杀 等 严重 后 果 。 

(3) 两 年 内 曾 因 诽 谤 受过 行政 处 罚 ， 又 诽谤 他 人 。 

(4) 其 他 情节 严重 的 情形 。 

4. 利用 信息 网 络 诽谤 他 人 ， 在 什么 情形 下 应 当 认 定 为 《刑法 》 第 二 百 四 十 六 条 第 二 
款 规 定 的 “严重 危害 社会 秩序 和 国家 利益 ” 

(1) 引发 群体 性 事件 。 

(2) 引发 公共 秩序 混乱 。 

(3) 引发 民族 、 宗 教 冲 突 。 

(4) 诽谤 多 人 ， 造 成 恶劣 社会 影响 。 

(5) 损害 国家 形象 ， 严 重 危 害 国家 利益 。 

(6) 造成 恶劣 国际 影响 

(7) 其 他 严重 危害 社会 秩序 和 国家 利益 的 情形 。 

5. 网 上 何 种 行为 会 被 认定 为 寻 峡 滋事 罪 

利用 信息 网 络 辱骂 、 恐 吓 他 人 ， 情 节 和 恶劣、 破坏 社会 秩序 的 ， 依 照 《 刑 法 》 第 二 百 九 “| 附 
十 三 条 第 一 款 第 〈 二 ) 项 的 规定 ， 以 寻 岩 滋事 罪 定罪 处 罚 。 编 造 虚假 信息 ， 或 者 明知 是 编 pe 
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造 的 虚假 信息 ， 在 信息 网 络 上 散布 ， 或 者 组 织 、 指 使 人 员 在 信息 网 络 上 散布 ， 起 哄 闸 事 ， 
造成 公共 秩序 严重 混乱 的 ， 依 照 《 刑 法 》 第 二 百 九 十 三 条 第 一 款 第 (四 ) 项 的 规定 ， 以 寻 
邮 滋 事 罪 定罪 处 罚 。 

6. 网 上 何 种 行为 会 被 认定 为 敲诈 勒索 罪 

以 在 信息 网 络 上 发 布 、 删 除 等 方式 处 理 网 络 信息 为 由 ， 威 胁 、 要 挟 他 人 ， 索 取 公 私 财 
物 ， 数 额 较 大 ， 或 者 多 次 实施 上 述 行为 的 ， 依 照 《 刑 法 》 第 二 百 七 十 四 条 的 规定 ， 以 散 诈 
勒索 罪 定 罪 处 罚 。 

7. 网 上 何 种 行为 会 被 认定 为 非法 经 营 罪 

违反 国家 规定 ， 以 营利 为 目的 ， 通 过 信息 网 络 有 偿 提 供 删除 信息 服务 ， 或 者 明知 是 虚 
假 信 息 ， 通 过 信息 网 络 有 偿 提供 发 布 信息 等 服务 ， 扰 乱 市 场 秩序 ， 属 于 非法 经 营 行为 “ 情 
节 严 重 ” 依照 《刑法 》 第 二 百 二 十 五 条 第 〈 四 ) 项 的 规定 ， 以 非法 经 营 罪 定罪 处 罚 。 

8. 非法 经 营 认定 的 数额 标准 是 多 少 

(1) 个 人 非法 经 营 数额 在 5 万 元 以 上 ， 或 者 违法 所 得 数额 在 2 万 元 以 上 。 

(2) 单位 非法 经 营 数额 在 15 万 元 以 上 ， 或 者 违法 所 得 数额 在 5 万 元 以 上 。 

实施 前 款 规定 的 行为 ， 数 额 达到 前 款 规定 的 数额 5 倍 以 上 的 ， 应 当 认 定 为 《刑法 》 第 
二 百 二 十 五 条 规定 的 “情节 特别 严重 ”。 

9. 明知 他 人 利用 信息 网 络 实施 诽谤 、 寻 蛇 滋事、 敲诈 勒索 、 非 法 经 营 等 犯罪 ,为 其 
提供 资金 、 场 所 、 技 术 支持 等 帮助 的 会 构成 什么 性 质 的 犯罪 

以 共同 犯罪 论处 。 

10. 国家 对 经 营 性 和 非 经 营 性 互联 网 信息 服务 分 别 采取 什么 管理 制度 

国家 对 经 营 性 互联 网 信息 服务 实行 许可 制度 ， 对 非 经 营 性 互联 网 信息 服务 实行 备案 制 
度 。 未 取得 许可 或 者 未 履行 备案 手续 的 ， 不 得 从 事 互联 网 信息 服务 。 

11. 互联 网 新 闻 信 息 及 新 闻 信 息 服务 包括 哪些 

新 闻 信息 是 指 时 政 类 新 闻 信息 ， 包 括 有 关 政 治 、 经 济 、 军 事 、 外 交 等 社会 公共 事务 的 
报道 、 评 论 ， 以 及 有 关 社 会 突 发 事件 的 报道 、 评 论 。 互 联网 新 闻 信 息 服务 包括 通过 互联 网 
登载 新 闻 信 息 、 提 供 时 政 类 电子 公告 服务 和 向 公众 发 送 时 政 类 通信 信息 。 

12. 关于 即时 通信 工具 〈 如 微 信 、 腾 讯 QQ 等 ) 的 公众 信息 服务 有 了 哪些 管理 规定 

国家 互联 网 信息 办 公 室 2014 年 8 月 7 日 发 布 《 即 时 通信 工具 公众 信息 服务 发 展 管理 
暂行 规定 》 就 上 述 问 题 做 出 如 下 规定 : 

第 二 条 ”在 中 华人 民 共 和 国境 内 从 事 即 时 通信 工具 公众 信息 服务 ， 适 用 本 规定 。 

本 规定 所 称 即时 通信 工具 是 指 基于 互联 网 面向 终端 使 用 者 提供 即时 信息 交流 服务 的 
应 用 。 本 规定 所 称 公 众 信 息 服务 ， 是 指 通过 即时 通信 工具 的 公众 账号 及 其 他 形式 向 公众 发 
布 信息 的 活动 。 

第 三 条 ”国家 互联 网 信息 办 公 室 负责 统筹 协调 指导 即时 通信 工具 公众 信息 服务 发 展 
管理 工作 ， 省 级 互联 网 信息 内 容 主管 部 门 负责 本 行政 区 域 的 相关 工作 。 互 联网 行业 组 织 应 
当 积极 发 挥 作用 ， 加 强行 业 自律 ， 推 动 行业 信用 评价 体系 建设 ， 促 进行 业 健 康 有 序 发 展 。 

第 四 条 即时 通信 工具 服务 提供 者 应 当 取 得 法 律 法 规 规定 的 相关 资质 。 即 时 通信 工具 
服务 提供 者 从 事 公众 信息 服务 活动 ， 应 当 取 得 互联 网 新 闻 信息 服务 资质 。 

第 五 条 ”即时 通信 工具 服务 提供 者 应 当 落 实 安全 管理 责任 ， 建 立 健全 各 项 制度 ， 配 备 


与 服务 规模 相 适 应 的 专业 人 员 ， 保 护 用 户 信息 及 公民 个 人 隐私 ， 自 觉 接 受 社会 监督 ， 及 时 
处 理 公 众 举报 的 违法 和 不 良 信息 。 

第 六 条 ”即时 通信 工具 服务 提供 者 应 当 按照 “后 台 实 名 、 前 台 自 愿 ” 的 原则 ， 要 求 即 
时 通信 工具 服务 使 用 者 通过 真实 身份 信息 认证 后 注册 账号 。 即 时 通信 工具 服务 使 用 者 注册 
账号 时 ， 应 当 与 即时 通信 工具 服务 提供 者 签订 协议 ， 承 诺 遵守 法 律 法 规 、 社 会 主义 制度 、 
国家 利益 、 公 民 合 法 权益 、 公 共 秩 序 、 社 会 道德 风尚 和 信息 真实 性 等 “七 条 底线 ”。 

第 七 条 即时 通信 工具 服务 使 用 者 为 从 事 公 众 信息 服务 活动 开设 公众 账号 ， 应 当 经 即 
时 通信 工具 服务 提供 者 审核 ， 由 即时 通信 工具 服务 提供 者 向 互联 网 信息 内 容 主管 部 门 分 类 
备案 。 

新 闻 单位 、 新 闻 网 站 开设 的 公众 账号 可 以 发 布 、 转 载 时 政 类 新 闻 ， 取 得 互联 网 新 闻 信 
息 服 务 资质 的 非 新 闻 单 位 开设 的 公众 账号 可 以 转载 时 政 类 新 闻 。 其 他 公众 账号 未 经 批准 不 
即时 通信 工具 服务 提供 者 应 当 对 可 以 发 布 或 转载 时 政 类 新 闻 的 公众 账号 加 注 标识 。 

鼓励 各 级 党 政 机 关 、 企 事业 单位 和 各 人 民团 体 开 设 公众 账号 ， 服 务 经 济 社会 发 展 ， 满 

第 八条 即时 通信 工具 服务 使 用 者 从 事 公 众 信息 服务 活动 ， 应 当 遵守 相关 法 律 法 规 。 

对 违反 协议 约定 的 即时 通信 工具 服务 使 用 者 ， 即 时 通信 工具 服务 提供 者 应 当 视 情节 采 
取 警 示 、 限 制 发 布 、 暂 停 更 新 直至 关闭 账号 等 措施 ， 并 保存 有 关 记 录 ， 履 行 问 有 关 主 管 部 
门 报告 义务 。 

13. 现行 《刑法 》 中 ， 专 门 规定 了 哪 两 个 关于 计算 机 犯罪 的 罪名 

第 二 百 八 十 五 条 【非法 侵入 计算 机 信息 系统 罪 】 违 反 国家 规定 ， 侵 入 国家 事务 、 国 防 
建设 、 尖 端 科 学 技术 领域 的 计算 机 信息 系统 的 ， 处 三 年 以 下 有 期 徒刑 或 者 拘役 。 

第 二 百 八 十 六 条 【破坏 计算 机 信息 系统 罪 】 违 反 国家 规定 ， 对 计算 机 信息 系统 功能 进 
行 删除 、 修 改 、 增 加 、 干 扰 ， 造 成 计算 机 信息 系统 不 能 正常 运行 ， 后 果 严 重 的 ， 处 五 年 以 
下 有 期 徒刑 或 者 拘役 ， 后 果 特 别 严重 的 ， 处 五 年 以 上 有 期 徒刑 。 

14. 利用 计算 机 或 计算 机 网 络 实施 的 犯罪 行为 在 《刑法 》 中 如 何 定罪 

利用 计算 机 实施 金融 诈骗 、 盗 窃 、 贪 污 、 挪 用 公款 、 和 穷 取 国家 秘密 或 者 其 他 犯罪 的 ， 
依照 本 法 有 关 规 定 定罪 处 罚 。 该 条 规定 的 犯罪 侵害 客体 比较 广泛 ， 包 括 公司 财产 或 国家 秘 
密 的 拥有 权 等 。 

15. 禁止 从 事 哪些 危害 计算 机 信息 网 络 安全 的 活动 

《计算 机 信息 网 络 国际 联网 安全 保护 管理 办 法 》 第 六 条 规定 ， 任 何 单位 和 个 人 不 得 从 
事 下 列 危 害 计算 机 信息 网 络 安全 的 活动 : (一 ) 未 经 允许 , 进入 计算 机 信息 网 络 或 者 使 用 计 
算 机 信息 网 络 资源 的 ; (二 ) 未 经 允许 , 对 计算 机 信息 网 络 功能 进行 删除 、 修 改 或 者 增加 的 ; 
(三 ) 未 经 允许 ， 对 计算 机 信息 网 络 中 存储 、 处 理 或 者 传输 的 数据 和 应 用 程序 进行 删除 、 修 
改 或 者 增加 的 ;〈 四 ) 故意 制作 、 传 播 计算 机 病毒 等 破坏 性 程序 的 ; 〈 五 ) 其 他 危害 计算 机 
信息 网 络 安全 的 。 

16. 利用 信息 网 络 侵害 人 身 权 益 案 件 适 用 哪些 法 律 规定 

2014 年 6 月 23 日 最 高 人 民法 院 审判 委员 会 第 1621 次 会 议 通过 了 《关于 审理 利用 信 
息 网 络 侵害 人 身 权 益 民 事 纠 纷 案 件 适 用 法 律 若干 问题 的 规定 》， 就 上 述 问题 明确 做 出 如 下 
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规定 : 

第 二 条 ”利用 信息 网 络 侵害 人 身 权益 提起 的 诉讼 ， 由 侵权 行为 地 或 者 被 告 住所 地 人 民 
法 院 管辖 。 侵 权 行 为 实施 地 包括 实施 被 诉 侵权 行为 的 计算 机 等 终端 设备 所 在 地 ， 侵 权 结 果 
发 生地 包括 被 侵权 人 住所 地 。 

第 三 条 ”原告 依据 侵权 责任 法 第 三 十 六 条 第 二 款 、 第 三 款 的 规定 起 诉 网 络 用 户 或 者 网 
络 服务 提供 者 的 ， 人 民法 院 应 予 受理 。 原 告 仅 起 诉 网 络 用 户 ， 网 络 用 户 请 求 妃 加 涉嫌 侵权 
的 网 络 服务 提供 者 为 共同 被 告 或 者 第 三 人 的 ， 人 民法 院 应 予 准许 。 

原告 仅 起 诉 网 络 服务 提供 者 ， 网 络 服务 提供 者 请 求 追 加 可 以 确定 的 网 络 用 户 为 共同 被 
告 或 者 第 三 人 的 ， 人 民法 院 应 予 准许 。 

第 四 条 ”原告 起 诉 网 络 服务 提供 者 ， 网 络 服务 提供 者 以 涉嫌 侵权 的 信息 系 网 络 用 户 发 
布 为 由 抗辩 的 ， 人 民法 院 可 以 根据 原告 的 请 求 及 案件 的 具体 情况 ， 责 令 网 络 服务 提供 者 向 
人 民法 院 提供 能 够 确定 涉嫌 侵权 的 网 络 用 户 的 姓名 名称)、 联 系 方式 、 网 络 地 址 等 信息 。 
网 络 服务 提供 者 无 正当 理由 拒 不 提供 的 ， 人 民法 院 可 以 依据 民事 诉讼 法 第 一 百 一 十 四 条 的 
规定 对 网 络 服务 提供 者 采取 处 罚 等 措施 。 

原告 根据 网 络 服务 提供 者 提供 的 信息 请 求 追加 网 络 用 户 为 被 告 的 ， 人 民法 院 应 予 
准许 。 

第 五 条 ”依据 侵权 责任 法 第 三 十 六 条 第 二 款 的 规定 ， 被 侵权 人 以 书面 形式 或 者 网 络 服 
务 提 供 者 公示 的 方式 向 网 络 服务 提供 者 发 出 的 通知 ， 包 含 下 列 内 容 的 ， 人 民法 院 应 当 认定 
有 效 : 

(一 ) 通知 人 的 姓名 名称》 和 联系 方式 ; 

(二 ) 要 求 采取 必要 措施 的 网 络 地 址 或 者 足以 准确 定位 侵权 内 容 的 相关 信息 ; 

(三 ) 通知 人 要 求 删除 相关 信息 的 理由 。 

被 侵权 人 发 送 的 通知 未 满足 上 述 条 件 ， 网 络 服务 提供 者 主张 免除 责任 的 ， 人 民法 院 应 
予 支持 。 

第 六 条 ”人民 法院 适用 侵权 责任 法 第 三 十 六 条 第 二 款 的 规定 ， 认 定 网 络 服务 提供 者 采 
取 的 删除 、 屏 项 、 断 开 链 接 等 必要 措施 是 否 及 时 ， 应 当 根据 网 络 服务 的 性 质 、 有 效 通 知 的 
形式 和 准确 程度 ， 网 络 信息 侵害 权益 的 类 型 和 程度 等 因素 综合 判断 。 

第 七 条 ”其 发 布 的 信息 被 采取 删除 、 屏 蔽 、 断 开 链接 等 措施 的 网 络 用 户 ， 主 张 网 络 服 
务 提供 者 承担 违约 责任 或 者 侵权 责任 ， 网 络 服务 提供 者 以 收 到 通知 为 由 抗辩 的 ， 人 民法 院 
应 予 支持 。 被 采取 删除 、 屏 项 、 断 开 链 接 等 措施 的 网 络 用 户 ， 请 求 网 络 服务 提供 者 提供 通 
知 内 容 的 ， 人 民法 院 应 予 支持 。 

第 八条 ” 因 通 知人 的 通知 导致 网 络 服 务 提供 者 错误 采取 有 删除、 屏蔽、 断 开 链 接 等 措施 ， 
被 采取 措施 的 网 络 用 户 请 求 通知 人 承担 侵权 责任 的 ， 人 民法 院 应 予 支持 。 被 错误 采取 措施 
的 网 络 用 户 请 求 网 络 服务 提供 者 采取 相应 恢复 措施 的 ， 人 民法 院 应 予 支持 ， 但 受 技术 条 件 
限制 无 法 恢复 的 除外 。 

第 九条 ”人 民法 院 依据 侵权 责任 法 第 三 十 六 条 第 三 款 认定 网 络 服务 提供 者 是 否 “ 知 
道 ”， 应 当 综合 考虑 下 列 因素 : 

(一 ) 网 络 服务 提供 者 是 否 以 人 工 或 者 自动 方式 对 侵权 网 络 信息 以 推荐 、 排 名 、 选 择 、 
编辑 、 整 理 、 修 改 等 方式 做 出 处 理 ; 


(二 ) 网 络 服务 提供 者 应 当 具备 的 管理 信息 的 能 力 ， 以 及 所 提供 服务 的 性 质 、 方 式 及 
其 引发 侵权 的 可 能 性 大 小 ; 

(三 ) 该 网 络 信息 侵害 人 身 权 益 的 类 型 及 明显 程度 ; 

(四 ) 该 网 络 信息 的 社会 影响 程度 或 者 一 定时 间 内 的 浏览 量 ; 

(五 ) 网 络 服务 提供 者 采取 预防 侵权 措施 的 技术 可 能 性 及 其 是 否 采取 了 相应 的 合理 
措施 ; 

(六 ) 网 络 服务 提供 者 是 否 针对 同一 网 络 用 户 的 重复 侵权 行为 或 者 同一 侵权 信息 采取 
了 相应 的 合理 措施 ; 

(七 ) 与 本 案 相 关 的 其 他 因素 。 

第 十 条 人 民法 院 认 定 网 络 用 户 或 者 网 络 服务 提供 者 转载 网 络 信息 行为 的 过 错 及 其 
程度 ， 应 当 综 合 以 下 因素 ; 

(一 ) 转载 主体 所 承担 的 与 其 性 质 、 影 响 范围 相 适 应 的 注意 义务 

(二 ) 所 转载 信息 侵害 他 人 人 身 权 益 的 明显 程度 ; 

(三 ) 对 所 转载 信息 是 否 做 出 实质 性 修改 ， 是 否 添 加 或 者 修改 文章 标题 ， 导 致 其 与 内 
容 严重 不 符 及 误导 公众 的 可 能 性 。 

第 十 一 条 ”网络 用 户 或 者 网 络 服务 提供 者 采取 诽谤 、 诈 毁 等 手段 ， 损 害 公众 对 经 营 主 
体 的 信赖 ， 降 低 其 产品 或 者 服务 的 社会 评价 ， 经 营 主体 请 求 网 络 用 户 或 者 网 络 服务 提供 者 
承担 侵权 责任 的 ， 人 民法 院 应 依法 予以 支持 。 

第 十 二 条 ”网络 用 户 或 者 网 络 服务 提供 者 利用 网 络 公开 自然 人 基因 信息 、 病 历 资料 、 
健康 检查 资料 、 犯 罪 记 录 、 家 庭 住址 、 私 人 活动 等 个 人 隐私 和 其 他 个 人 信息 ， 造 成 他 人 损 
害 ， 被 侵权 人 请 求 其 承担 侵权 责任 的 ， 人 民法 院 应 予 支持 。 但 下 列 情形 除外 : 

(一 ) 经 自然 人 书面 同意 且 在 约定 范围 内 公开 ; 

(二 ) 为 促进 社会 公共 利益 且 在 必要 范围 内 ; 

(三 ) 学 校 、 科 研 机 构 等 基于 公共 利益 为 学 术 研 究 或 者 统计 的 目的 ， 经 自然 人 书面 同 
意 ， 且 公开 的 方式 不 足以 识别 特定 自然 人 ; 

(四 ) 自然 人 自行 在 网 络 上 公开 的 信息 或 者 其 他 已 合法 公开 的 个 人 信息 ; 

(五 ) 以 合法 渠道 获取 的 个 人 信息 ; 

(六 ) 法 律 或 者 行政 法 规 另 有 规定 。 

网 络 用 户 或 者 网 络 服务 提供 者 以 违反 社会 公共 利益 、 社 会 公德 的 方式 公开 前 款 第 四 
项 、 第 五 项 规定 的 个 人 信息 ， 或 者 公开 该 信息 侵害 权利 人 值得 保护 的 重大 利益 ， 权 利 人 请 
求 网 络 用 户 或 者 网 络 服务 提供 者 承担 侵权 责任 的 ， 人 民法 院 应 予 支持 。 

国家 机 关 行 使 职权 公开 个 人 信息 的 ， 不 适用 本 条 规定 。 

第 十 三 条 ”网络 用 户 或 者 网 络 服务 提供 者 ， 根 据 国家 机 关 依 职权 制作 的 文书 和 公开 实 
施 的 职权 行为 等 信息 来 源 所 发 布 的 信息 ， 有 下 列 情形 之 一 、 侵 害 他 人 人 身 权 益 、 被 侵权 人 
请 求 侵 权 人 承担 侵权 责任 的 ， 人 民法 院 应 予 支持 : 

(一 ) 网 络 用 户 或 者 网 络 服务 提供 者 发 布 的 信息 与 前 述 信息 来 源 内 容 不 符 ; 

(二 ) 网 络 用 户 或 者 网 络 服务 提供 者 以 添加 侮辱 性 内 容 、 诽 谤 性 信息 、 不 当 标 题 ， 或 


者 通过 增删 信息 、 调 整 结构 、 改 变 顺序 等 方式 致 人 误解 ; 尼 
(三 ) 前 述 信息 来 源 已 被 公开 更 正 ， 但 网 络 用 户 拒绝 更 正 或 者 网 络 服务 提供 者 不 予 
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(四 ) 前 述 信息 来 源 已 被 公开 更 正 ， 网 络 用 户 或 者 网 络 服务 提供 者 仍然 发 布 更 正之 前 
的 信息 。 

第 十 四 条 ”被 侵权 人 与 构成 侵权 的 网 络 用 户 或 者 网 络 服务 提供 者 达成 一 方 支付 报酬 ， 
另 一 方 提供 删除 、 屏 蔽 、 断 开 链 接 等 服务 的 协议 ， 人 民法 院 应 认定 为 无 效 。 擅 自 自 改 、 删 
除 、 屏 蔽 特定 网 络 信息 或 者 以 断 开 链 接 的 方式 阻止 他 人 获取 网 络 信息 ， 发 布 该 信息 的 网 络 
用 户 或 者 网 络 服务 提供 者 请 求 侵权 人 承担 侵权 责任 的 ， 人 民法 院 应 予 支持 。 接 受 他 人 委托 
实施 该 行为 的 ， 委 托 人 与 受托 人 承担 连带 责任 。 

第 十 五 条 雇佣 、 组 织 、 教 唆 或 者 帮助 他 人 发 布 、 转 发 网 络 信息 侵害 他 人 人 身 权 益 ， 
被 侵权 人 请 求 行为 人 承担 连带 责任 的 ， 人 民法 院 应 予 支持 。 

第 十 六 条 “人民 法院 判决 侵权 人 承担 赔礼 道 菊 、 消 除 影响 或 者 恢复 名 誉 等 责任 形式 
的 ， 应 当 与 侵权 的 具体 方式 和 所 造成 的 影响 范围 相当 。 侵 权 人 拒 不 履行 的 ， 人 民法 院 可 以 
采取 在 网 络 上 发 布 公告 或 者 公布 裁判 文书 等 合理 的 方式 执行 ， 由 此 产生 的 费用 由 侵权 人 
承担 。 

第 十 七 条 ”网 络 用 户 或 者 网 络 服务 提供 者 侵害 他 人 人 身 权益 ， 造 成 财产 损失 或 者 严重 
精神 损害 ,被 侵权 人 依据 侵权 责任 法 第 二 十 条 和 第 二 十 二 条 的 规定 请 求 其 承担 赔偿 责任 的 ， 
人 民法 院 应 予 支 持 。 

第 十 八条 ”被 侵权 人 为 制止 侵权 行为 所 支付 的 合理 开支 ， 可 以 认定 为 侵权 责任 法 第 二 
十 条 规定 的 财产 损失 。 合 理 开支 包括 被 侵权 人 或 者 委托 代理 人 对 侵权 行为 进行 调查 、 取 证 
的 合理 费用 。 人 民法 院 根据 当事人 的 请 求 和 具体 案情 ， 可 以 将 符合 国家 有 关 部 门 规定 的 律 
师 费 用 计算 在 赔偿 范围 内 。 

被 侵权 人 因 人 身 权益 受 侵害 造成 的 财产 损失 或 者 侵权 人 因此 获得 的 利益 无 法 确定 的 ， 
人 民法 院 可 以 根据 具体 案情 在 50 万 元 以 下 的 范围 内 确定 赔偿 数额 。 

精神 损害 的 赔偿 数额 ， 依 据 《 最 高 人 民法 院 关 于 确定 民事 侵权 精神 损害 赔偿 责任 若干 
问题 的 解释 》 第 十 条 的 规定 予以 确定 。 

17. 网 络 安全 事件 处 置 可 以 向 哪些 专业 机 构 求援 


类 别 机 构 名 称 网 址 
国家 互联 网 应 急 中 心 http://www.cert.org.cn/ 
服务 机 构 国家 计算 机 病毒 应 急 处 理 中 心 http://www.antivirus-china.org.cn/ 
中 国信 息 安全 测评 中 心 http://www.itsec.gov.cn/ 
中 国 国家 信息 安全 漏洞 库 http://www.cnnvd.org.cn/ 
中 国 互联 网 违法 和 不 良 信息 举报 中 心 http://net.china.com.cn/ 
中 国 互联 网 协会 反 垃圾 信息 中 心 http://www.12321.0rg.cn/ 
违法 和 不 良 | 网 络 违法 犯罪 举报 网 站 http://www.cyberpolice.cn/wfjb/ 
信息 举报 网 络 不 良 与 垃圾 信息 举报 受理 中 心 http://www.12321.cn/ 
UNT 统一 信任 网 络 http://www.trustutn.org/ 
网 络 社会 诚信 网 http://www.zx110.0rg/ 
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.系统 审计 保护 级 安全 标记 保护 级 结构 化 保护 级 
.明确 的 文档 化 
.监视 委托 管理 访问 能 力 ” 抗 干扰 能 


客体 控制 策略 


. 访问 控制 表 访问 控制 矩阵 


更 改 配置 
类 库 层 ”Linux 内 核 
简 答 题 〈 略 ) 


二 、 填 空 题 

1. 加 密 ” 脱 密 

2. 隐 密 地 

3. 体制 

4. 错乱 代替 密 本 ”加 乱 

5. 易 位 密码 ”代替 密码 

6. 映射 词 (词组 ) 

7. 密 钥 ”算法 

8. 密 文 密 钥 密码 体制 〈 或 密码 ) 
9. 信 源 信和 宿 

10. 代替 换 位 

11. 单 密 钥 加 密 双 密 钥 加 密 

12. 分 组 加 密 流 加 密 

13. MD5 SHA-1 

14. 电子 邮件 证 书 ” 客 户 端 个 人 证 书 


.数字 证 书 

. 序列 密码 ”分 组 密码 
.初始 密 钥 ”会 话 密 钥 ” 主 密 钥 
. 对称 非 对 称 

、 简 答题 〈 略 ) 


涉 
中 


题 


. 账号 ”肉鸡 

. 隐蔽 性 ” 非 授 权 性 
客户 端 “服务 中 

. 系统 漏洞 

.电子 邮件 “恶意 网 页 
. Intemet 防火 墙 


风疹 人 委 会 与 合理 ( 谎 二 族 ) 


Ts 
8. 
" 


II SS 


网 络 操作 异常 ”闪现 拥挤 异常 
网 上 银行 网 络 支付 

移动 存储 介质 ”电子 邮件 传播 
网 站 浏览 ”网 络 聊天 

未 明确 提示 用 户 ”未 经 用 户 许 可 
电子 邮件 ”实时 聊天 工具 

、 简 答题 〈 略 ) 
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A D 
11 20 
B c 
2 

C 

二 、 填 空 题 

1. 包 过 滤 应 用 层 数据 

2. 单 向 导 通 

3. 隔离 区 非 军事 化 区 

4. 内 部 网 络 外 部 网 络 

5. 路 由 器 用 户 化 建立 在 通用 操作 系统 上 具有 安全 操作 系统 

6. 静态 转换 动态 转换 端口 地 址 转换 

7. 应 用 代理 网 关 

8. 防火墙 

9. 计算 机 病毒 


、 简 答题 〈 略 ) 


3 4 
A B D A 


1 
二 
k 


无 线 局 域 网 无 线 个 人 区 域 网 
有 结构 网 络 自 组 织 网 络 
2.5GHz 5GHz 


4. 不 靠 电缆 ”拒绝 插头 

5. 721lk 1M 

6. 24G 11M 

7. WPA WAPI 

8. 64 128 RC4 

9. WPA-PSK WPA2-PSK AES TKIP 


10. 双向 认证 ”椭圆 曲线 ”分 组 
三 、 简 答题 (上 略 ) 


1 10 
B C 
11 
A 


二 、 填 空 题 

1. 信息 加 密 ” 用 户 认 证 

2. 分 支 结构 ”其 他 公司 

3. 专线 ”加密 

4. SSLVPN MPLSVPN 
5. ESP 协议 ” 密 钥 管理 协议 
6. 数据 完整 性 ” 反 重播 保 证 ” 非 机 密 
7. HMAC-MD5 HMAC-SHA 

8. 封装 ”压缩 

9. 协商 加 密 算法 ”交换 加 密 密 钥 

三 、 简 答题 〈 略 ) 


一 、 选 择 题 


[eS 
I 
(el 
Na 
~ 


Cc B B 

二 、 填 空 题 

1. 保密 ”完整 即 需 

2. 识别 再 次 访问 的 客户 身份 

3. Cookie 恶意 Java 小 程序 ”恶意 客户 端 脚本 语言 程序 恶意 Active X 控 件 病毒 
木马 ”恶意 图 形 文件 插件 


网 参 颁 会 与 合理 ( 谎 二 族 ) 


ES 


. 电子 商务 ”电子 邮件 ”电子 资金 转账 

. 宁 视 交易 “删除 数据 “窃取 数据 

.侵入 互联 网 并 记录 通过 某 台 计算 机 〈 路 由 器 ) 的 信息 
. 网 景 CommerceNet 互联 网 加 密 和 解密 

、 简 答题 〈 略 ) 


OU 


ll 


第 10 章 
一 、 选 择 题 
D 
二 、 填 空 题 
1. 防护 传导 的 发 射 源 ”采用 电磁 屏蔽 手段 
2. 防火 墙 VPN 


、 简 答题 〈 略 ) 
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